Çevrim İçi Sınavlarda Biyometrik Gözetim

1/225

 Expediente N.º: EXP202305233
Procedimiento Sancionador Nº PS/00067/2024

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Contenido
ANTECEDENTES.......................................................................................................... 2

HECHOS PROBADOS................................................................................................ 29

FUNDAMENTOS DE DERECHO................................................................................. 50

I.Competencia y procedimiento.................................................................................... 50

II. Cuestiones previas sobre el tratamiento realizado por la UIV.................................. 50

2.1. Datos personales objeto de tratamiento............................................................ 50

2.2. Características y riesgos del tratamiento de los datos biométricos de carácter
personal................................................................................................................... 59

2.3. Los datos biométricos como datos personales de categoría especial y alto
riesgo....................................................................................................................... 62

2.4. Sobre las operaciones de tratamiento de datos biométricos y el responsable de
su tratamiento........................................................................................................... 67

III. Sobre la admisión y valoración de la prueba........................................................... 69

IV. Contestación de las alegaciones contra el Acuerdo de Inicio.................................. 92

V. Contestación a las alegaciones formuladas frente a la Propuesta de Resolución.. 119

5.1. Contestación de las cuestiones previas/preliminares planteadas....................122

5.2. Contestación a las alegaciones formuladas en relación con la naturaleza jurídica
de los datos tratados y la atipicidad de la conducta imputada por el artículo 9 del
RGPD..................................................................................................................... 137

5.3. Contestación de la ALEGACIÓN QUINTA. La Propuesta de Resolución vulnera
el principio de culpabilidad: ante las dudas interpretativas que se derivan del RGPD,
no cabe imponer una sanción................................................................................. 164

5.4. Contestación de la ALEGACIÓN SEXTA sobre:“Incorrecta aplicación de los
criterios de graduación de las sanciones”............................................................... 168

VI. Sobre la concurrencia de excepción a la prohibición del tratamiento del artículo 9
del RGPD, y base legitimadora del artículo 6 del RGPD............................................ 172

6.1. Sobre la necesidad de que concurra excepción a la prohibición del tratamiento
de datos biométricos.............................................................................................. 172

6.2. Necesidad de base de licitud del tratamiento del artículo 6.1.......................... 174
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/225

6.3. Análisis de la concurrencia de una excepción y una base de licitud en el
supuesto presente.................................................................................................. 175

VII. Sobre el incumplimiento del artículo 5.1.c) del RGPD......................................... 201

7.1. Sobre la exigencia de que el tratamiento sea necesario, idóneo y proporcional.
............................................................................................................................... 201

7.2. Precisiones preliminares sobre el análisis de idoneidad, necesidad y
proporcionalidad realizado por la UIV..................................................................... 204

7.3. Sobre la falta de superación del análisis de idoneidad, necesidad y
proporcionalidad realizado por la UIV..................................................................... 207

VIII. Tipificación de las infracciones y calificación a los efectos de la prescripción.....226

8.1. Infracción del artículo 9 del RGPD................................................................... 226

8.2. Infracción del artículo 5.1.c del RGPD............................................................. 226

IX. Sanción a imponer................................................................................................ 227

9.1. Normativa aplicable......................................................................................... 227

9.2. Graduación de la sanción por la infracción del artículo 9 del RGPD................229

9.3. Graduación de la sanción por la infracción del artículo 5.1.c) del RGPD.........231

RESUELVE:............................................................................................................... 233

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: La ***EMPRESA.1 (en adelante, la denunciante) con fecha 24 de marzo de
2023 presentó denuncia ante la Agencia Española de Protección de Datos. La
denuncia se dirige contra UNIVERSITAT INTERNACIONAL VALENCIANA-
VALENCIAN INTERNATIONAL UNIVERSITY, S.L. con NIF B98585797 (en adelante, la
UIV/ la Universidad), en la que pone de manifiesto a esta Agencia la posible falta de
proporcionalidad del tratamiento de datos biométricos de los estudiantes matriculados
en la Universidad Internacional de Valencia.

Según los hechos que constan en la denuncia:

- La Universidad remitió información a los alumnos bajo la referencia ‘activación
apartado exámenes’, en la que se les instaba a descargar una herramienta de
monitorización de exámenes que utiliza reconocimiento facial sin proporcionar
otras alternativas para realizar las evaluaciones. Dicha herramienta es un
software llamado ***APLICACIÓN.1 que, entre otras cosas, utiliza
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/225

reconocimiento facial e inteligencia artificial para comprobar la identidad de los
alumnos y evitar, a través de la intromisión en su ordenador, la comisión de
posibles fraudes, además de capturar imágenes de los estudiantes durante su
evaluación. Asimismo, los alumnos recibieron un documento en el cual se les
informaba que deberían de colocar un sistema de videovigilancia que se
compone por un doble dispositivo de grabación.

- En concreto, se afirma en la denuncia que un grupo de alumnas inscritas en los
cursos virtuales recibieron correo electrónico de 3 de octubre de 2022 con el
siguiente contenido: “El uso del campus virtual no requiere de la instalación de
ningún programa o software (excepto complemento navegador para
funcionalidades concretas). Con disponer de equipo actualizado, navegador
web compatible y conexión aceptable, se puede disfrutar de una experiencia
académica completa. Sin embargo, sí que existen requisitos mínimos que
detallamos a continuación: cámara web y micrófono, velocidad de conexión 7.2
y 3.6 Mbps de bajada y subida, recomendación cable LAN para pruebas,
exámenes y presentaciones TFM”.

- Posteriormente, el 19 de diciembre de 2022, las alumnas recibieron nuevo
correo en el que se les informaba que a partir del día 16 de enero de 2023
debían descargar una herramienta de monitorización de exámenes que
utilizaba reconocimiento facial, sin que se les proporcionara otras opciones. El
contenido de este correo es el siguiente: “Estimados estudiantes: ya ha sido
activado el apartado de exámenes del aula general. Es importante que reviséis
dicho apartado, así como descargaros la herramienta de monitorización
***APLICACIÓN.1, ya que, como os informamos, podéis hacer los exámenes a
partir del 16 de enero. Tenéis un manual y video informativo para la descarga
del Proctor. Del mismo modo, el servicio de soporte técnico de la universidad
va a impartir unos talleres de resolución de dudas sobre exámenes online y
control biométrico”. Se afirma que las alumnas recibieron también adjunto a
dicho correo un documento informando que debían colocar un sistema de
videovigilancia que se compone de doble dispositivo de grabación.

- Que, tras recibir el correo de 19 de diciembre de 2022, el grupo de alumnas
solicitó que sus complementos formativos y evaluaciones se llevaran a cabo sin
las medidas de vigilancia anteriormente descritas, a lo que la Universidad
respondió “la implementación de dichas medidas fue aprobada por el Consejo
de Gobierno Académico”, sin ofrecerles soluciones alternativas que no
requiriese el tratamiento de datos biométricos.

- La denuncia hace referencia al Informe Jurídico 0036/2020 de esta Agencia,
que analizó el uso de datos biométricos por parte de universidades e
instituciones educativas, indicando que: “la posibilidad de admitir un
consentimiento libre de los alumnos que permitiera el empleo de técnicas de
reconocimiento facial para tratar sus datos biométricos en las evaluaciones
online requeriría que a los mismos se les ofreciera la posibilidad de realizar
dichas evaluaciones en una situación equiparable en la que no fuera necesario
su tratamiento, como pudiera ser la realización de la misma actividad
presencialmente, u ofreciendo otras alternativas que no requieran el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/225

tratamiento de sus datos biométricos y que fueran equiparables en cuanto a su
duración y dificultad respecto a las que se realicen con reconocimiento facial.”

- La denuncia también referencia la resolución del expediente E/05454/2021 de
la AEPD de fecha 27 de julio de 2021, que analiza un supuesto parecido donde
se afirma que: “(..) No se justifica la necesidad del tratamiento, ya que la
identificación online de los alumnos se ha estado realizando de forma habitual
por los centros Universitarios mediante la visualización del alumno sin emplear
técnicas de reconocimiento facial. Sobre este particular es necesario subrayar
que no cabe confundir necesidad con conveniencia (…)”. En este mismo
sentido, en la referida resolución la AEPD determina: “(…) que las técnicas de
reconocimiento facial implican una mayor intrusión en el derecho a la
protección de datos personales y que el tratamiento que se pretende realizar
podría suponer un alto riesgo para los derechos y libertades de las personas
físicas, debido a la utilización de nuevas tecnologías, y al alcance y contexto
en el que se realizará”.

Junto con su denuncia, la Fundación aporta 3 documentos:

- Documento 1. Acta fundacional constitutiva de la fundación denunciante.

- Documento 2. Estatutos de la Fundación.

- Documento 3. “Evidencias de personas alumnas de la Universidad
Internacional de Valencia”, donde aparecen un total de 5 documentos,
denominados “evidencias”.

Evidencia 1. Mensaje UIV que aparece sin fecha, indicando que el uso del
campus virtual no requiere instalación de software adicional.
Evidencia 2. Correo electrónico de 3-10-22 referido por la denuncia.
Evidencia 3. Correo de 19-12-22 referido por la denuncia.
Evidencia 4. Pantallazos del contenido de los adjuntos al correo de 19-12-22.
Evidencia 5. Respuesta de la UIV a una consulta sobre el nuevo sistema de
exámenes en el que se indica que se ha adoptado por decisión del Consejo de
Gobierno de 3 de mayo de 2022.

SEGUNDO: Con fecha 26 de abril de 2023, la Directora de la Agencia Española de
Protección de Datos acuerda mediante nota interior abrir una investigación de oficio e
insta a la Subdirección General de Inspección de Datos a que inicie actuaciones
previas de investigación tendentes a acreditar la posible concurrencia de estos hechos
y su autoría.

TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/225

El objeto de esta investigación se centró en analizar la proporcionalidad del
tratamiento y el cumplimiento de los principios de protección de datos por parte del
software ***APLICACIÓN.1, utilizado por la UNIVERSITAT INTERNATIONAL DE
VALENCIA (en adelante UIV o VIU) para la realización de exámenes por los alumnos,
y que utiliza técnicas de reconocimiento facial para su identificación, así como el
sistema de doble cámara utilizado por este sistema para monitorizar las pruebas (lo
que habitualmente es conocido como “Proctoring” o monitorización ***APLICACIÓN.2).

Dentro del procedimiento se realizan las siguientes actuaciones previas de
investigación, que se señalan en el Informe de Actuaciones Previas de
Investigación emitido por el inspector actuante con fecha de 18 de enero de 2024:

En fecha 30 de octubre de 2023 se realiza un primer requerimiento de información a la
UIV marcado por la siguiente línea de investigación:

- Solicitar e investigar el Registro de Actividades de Tratamiento (RAT)
en relación con las actividades en las que interviene los tratamientos
realizados por ***APLICACIÓN.1.
- Informar sobre el funcionamiento y casos de uso del software
***APLICACIÓN.1.
- Información sobre los detalles sobre los tratamientos de datos
personales que realiza ***APLICACIÓN.1 y la base legitimadora utilizada
para ello.
- Información que se proporciona a los alumnos en relación con los
tratamientos realizados por ***APLICACIÓN.1.
- Informar y aportar la elaboración del análisis de riesgos para los
derechos y libertades de las personas afectadas por estos tratamientos, y la
elaboración y superación de una Evaluación de Impacto para la Protección de
Datos Personales previa a la implantación del sistema de reconocimiento
facial.

En fecha 16 de noviembre de 2023 se recibe respuesta de la UIV al primer
requerimiento de investigación. Del análisis de la documentación aportada, de
acuerdo con el Informe del inspector, se extrae la siguiente información relevante:

- Afirman que “***APLICACIÓN.1 es un sistema de autenticación continua de la
identidad de la persona que va a realizar el examen y que utiliza un algoritmo
de reconocimiento facial, un sistema de monitorización de la pantalla y un
sistema de control del entorno mediante una segunda cámara, con el fin de
prevenir la suplantación de identidad y el fraude en los exámenes”.

o Afirman que el funcionamiento de ***APLICACIÓN.1 incluye tres fases:

o Aceptación por parte del alumno de los términos y condiciones.
o Registro de la identidad del alumno, capturando por primera vez la
imagen del alumno, procediendo a instalar el software necesario en el
dispositivo del alumno.
o Monitorización de las actividades durante el examen, donde el
estudiante es autenticado de forma continua.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/225

o Aportan varios documentos redactados por la empresa fabricante/
suministrador del software, ***EMPRESA.2 (en adelante, ***EMPRESA.2), con
la descripción funcional de ***APLICACIÓN.1 con el nombre “Documentos
Agrupados (Documentos 1.1, 1.2, y 1.3). Del análisis de estos documentos el
inspector extrae en su informe la siguiente información relevante:

En el “Documento 1.2” sobre el funcionamiento de ***APLICACIÓN.1 y sus
características esenciales, elaborado por ***EMPRESA.2 se destaca la
siguiente información:

(i) Descripción del sistema: “En función de las necesidades de la institución,
el sistema se puede configurar para monitorizar al usuario por medio de
distintas herramientas (niveles de seguridad). Estas herramientas se
pueden usar de forma independiente o combinadas, siendo las siguientes:

(…)”.

(i) En cuanto a las medidas técnicas de seguridad, en el apartado 2.2 de las
especificaciones, el sistema ***EMPRESA.2 manifiesta que “el sistema
implementa las medidas más avanzadas”:

“-Se siguen todas las recomendaciones y buenas prácticas en desarrollo
de código y revisión de vulnerabilidades web como las de (...) entre otras.
-Auditorías externas anuales.
-Almacenamiento de datos anonimizado: El sistema trabaja con datos
anonimizados, donde ***EMPRESA.2 nunca conoce la identidad de los
usuarios que está supervisando, ***APLICACIÓN.1 no maneja identidades
y todos los datos que llegan se relacionan a un código alfanumérico. La
relación entre códigos y la identidad de las personas reside en los
servidores del responsable de tratamiento.
-***EMPRESA.2 ha diseñado un sistema teniendo en cuenta la privacidad
por defecto y desde el diseño:

(ii) En el apartado 3.3. sobre “responsabilidad proactiva” las especificaciones
de ***EMPRESA.2 manifiestan, entre otros aspectos, lo siguiente:

-“El procesamiento biométrico que se realiza es de
autentificación/verificación y no de identificación. Esto quiere decir que se
realizan comparaciones de 1 a 1 y no de uno a varios”.
-El procesamiento biométrico que se realiza es de bajo impacto al ser
autenticación/verificación y no identificación.
-No almacena datos biométricos: cuando el sistema ***APLICACIÓN.1
recibe una imagen, extrae los datos biométricos de la imagen y del registro
del usuario y los compara, obteniendo un resultado. Estos datos se
destruyen y no quedan almacenados, quedando en el sistema muy pocos
segundos.
-El control reside en el usuario, antes de comenzar a utilizar
***APLICACIÓN.1, el estudiante recibe toda la información necesaria por
pe de la institución académica, además, la monitorización se basa siempre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/225

en el consentimiento del usuario, y en caso de que se deniegue, el
responsable del tratamiento debe ofrecerle una alternativa a este
estudiante”.

En el documento agrupado 1.3 sobre el funcionamiento de la herramienta
de monitorización de escritorio denominada ***HERRAMIENTA.1 que se
ha desarrollado e instalado en la UIV, ***EMPRESA.2 manifiesta, entre
otras cosas que:

-***APLICACIÓN.1 no graba video, captura screenshots cada vez que el
alumno cambia de programa, pestaña en navegador, navega por internet o
cualquier aplicación de su ordenador, se captura pantallazo.
-Se detecta apertura y cierre de programas partiendo de una black list que
se pueden considerar como incidencias.
-Detección de periféricos conectados al equipo, como varias pantallas o
cámaras.
-Detección de textos que pueda copiar el alumno, registrándose texto
copiado y programa desde el que se copia.
-Además de lo anterior, el software monitoriza la actividad del alumno, pero
en ningún momento accede a información en el equipo del estudiante”.

o Por otra parte, la UIV afirma en su escrito de 16 de diciembre de 2023, que el
proyecto ha contado con la aprobación de la Comisión Europea, que destinó
fondos dentro del programa H2020 durante el periodo 2018 a 2020, incluyen la
URL con la ficha del proyecto: https://cordis.europa.eu/article/id/429031-cyber-
security-steps-in-to-keep-academic-integrity-in-check/es.

o Se aporta, así mismo, como Documento 2.1 el Registro de Actividades de
Tratamiento (RAT) de la UIV con la actividad afectada por los tratamientos de
datos que realiza ***APLICACIÓN.1:

a. Nombre de la actividad de tratamiento: “Proctorización de
exámenes online”.
b. Finalidades del tratamiento:
1. Verificar que el estudiante que se presenta al examen es quien dice
ser.
2. Evitar suplantaciones de identidad.
3. Evitar el fraude o la copia en los exámenes.
4. Garantizar la calidad e integridad académica.
5. Dar cumplimiento a los requisitos de las entidades certificadoras
(ANECA).
c. Categorías de datos tratados: datos de identificación, imagen del
alumno, datos biométricos - patrón facial, comportamiento durante el
examen, contenido de la evaluación.
d. Base Jurídica utilizada para el tratamiento:
i. 1.Consentimiento explícito del usuario recabado en fase
precontractual y contractual.
ii. 2. Ejecución del contrato.
iii. 3. Interés legítimo para la prevención del fraude.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/225

e. Plazo supresión: durante el plazo necesario para llevar a cabo las
finalidades para las que han sido recabadas y, en cualquier caso, hasta el
momento en que las actas de evaluación de cada prueba sean firmes.
Posteriormente, los datos se conservan debidamente bloqueados durante
el plazo de prescripción de las acciones, reclamaciones e infracciones.
f. Medidas de seguridad: “La aplicación ***APLICACIÓN.1 tiene la
certificación ***CERTIFICACIÓN.1, por lo que las medidas de seguridad
son las descritas en dicha norma. Adicionalmente, la VIU está integrada
en el marco de seguridad, organizativo y normativo de ***EMPRESA.3.
Entre las normas de ***EMPRESA.3 aplicables a la seguridad de la VIU
destacan Política de Seguridad de la Información y Norma sobre Uso de
los sistemas de Información”.

o En relación con las bases jurídicas incluidas en el RAT y listadas en apartado
anterior, incluyen también en la respuesta las siguientes afirmaciones
aclaratorias:

“Para la finalidad de verificación mediante reconocimiento facial y datos
biométricos de que el alumno es parte del contrato de enseñanza, las bases
jurídicas aplicadas son:
1.-La ejecución del contrato de enseñanza.
2.-El consentimiento: otorgado al aceptar las condiciones generales en el
momento de la matrícula (contrato de enseñanza). Este consentimiento se
otorga previamente cuando el interesado todavía no es alumno de la
universidad y tiene plena capacidad para elegir centro universitario. El
consentimiento por tanto es libre debido a que el alumno puede escoger
cualquier centro y todavía no está sujeto a la normativa de la universidad.

Para la finalidad de verificación del entorno con la segunda cámara para
prevenir fraude:
1.- El interés legítimo (no se realiza ningún tratamiento biométrico con los
datos obtenidos, solo se visualiza el entorno para disuadir al alumno de
realizar actuaciones fraudulentas y para detectarlas).
2.- Consentimiento (el alumno consiente expresamente en las condiciones
generales el uso de la cámara del entorno)

Para la prevención del fraude en los exámenes online:
1.- El interés legítimo. La ponderación de este interés se realiza en la
evaluación de impacto aportada”.

o En relación con la información proporcionada al alumno sobre el uso de
***APLICACIÓN.1, se aportan los siguientes documentos que se ponen a
disposición de los estudiantes tanto en fase precontractual (aún no se ha
matriculado) como en la fase contractual (al matricularse), y post-contractual
(una vez el estudiante ya ha formalizado la matrícula):

a. Previamente a formalizar la matrícula:

El inspector manifiesta en su Informe que: Ha quedado constatado que la UIV
informa al alumno sobre el uso de datos biométricos en ***APLICACIÓN.1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/225

para reconocimiento facial a través de varios documentos facilitados al
estudiante en momentos previos al proceso de matriculación (fase
precontractual), pues ha quedado acreditado que estos documentos están
publicados abiertamente en la web de la universidad”.

Estos documentos son los siguientes:

 Links informativos sobre el funcionamiento del campus virtual y las
preguntas frecuentes.

(ii) La Normativa de Evaluación de la Universidad entre 2019 y 2022 como
Documento 3.5, comprobándose por el Inspector en su Informe de
Actuaciones Previas que la misma se halla publicados en la página web y
pueden consultarse por el alumno antes de tomar la decisión de matricularse,
a través de los dos links que proporciona la Universidad.

Se observa que Normativa de Evaluación de 25-2-2019, y 10-10-
2020, afirma en su capítulo IV, art 11 y siguientes que los exámenes
online se realizarán de forma obligatoria a través de reconocimiento
biométrico. Y la Normativa de Evaluación aprobada el 3-5-21 y el
21-10-22, realizan en el artículo 2 la misma afirmación.
(i) La UIV señala que también se ofrece información al alumno
en los documentos con cada Memoria de Verificación de Máster, a
la que éstos tienen acceso público a través de la web de la UIV.
Aportan un ejemplo de memoria de un máster como Documento
3.2, en cuyo apartado 5.4.1.b) y Anexo se ha referencia al control
de identidad y plagio mediante reconocimiento facial describiendo el
funcionamiento del programa ***APLICACIÓN.1.
(ii) Como documento 3.3 aporta un ejemplo de Plan de Estudios
de la UIV.
(iii) Como documento 3.4 presentado en 2018 por la UIV, se
aporta el Informe de Evaluación Favorable de ANECA de 31 de
mayo de 2019 sobre propuesta de modificación del Plan de
Estudios formulada en 2018 que fue sometido a ANECA, realizando
este organismo, según la UIV, 3 recomendaciones de mejora del
sistema de evaluación de exámenes online que la UIV dice haber
corregido, introduciendo las medidas de autenticación, control de la
pantalla y control del entorno de una segunda cámara.
(iv) Y por último, se aporta como documento 3.11 un ejemplo de
catálogo de master con apartado de exámenes online (pág 19).

a. Al contratar (formalizar la matrícula).

Se aporta como documento agrupado 3.1 las Condiciones Generales que el
estudiante deberá aceptar en el proceso de matrícula publicadas por la UIV
entre el año 2017 hasta 2023. Que la UIV denomina “Contrato de
Enseñanza”, cuya aceptación, supone, a su vez, manifestar el
consentimiento contractual.
La UIV manifiesta que éste está disponible desde la fase previa a la
contratación para ser consultado, si bien se acepta y convierte en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/225

consentimiento al formalizar la matrícula. Por lo que también puede
considerarse que se ofrece como información previa al formalizar la
matrícula.

Respecto a las Condiciones Generales publicadas por la universidad en los
años a los que corresponden los hechos a los que se refiere la denuncia
presentada en el presente expediente: 2022 y 2023, se aportan 3
documentos (“condiciones generales 2022”, “condiciones generales 2022
septiembre” y “condiciones generales 2023”). Y en todos ellos, aparece una
cláusula novena sobre “responsabilidades del alumno” en la que se hace
referencia a la aceptación de “un sistema de tecnología de reconocimiento
facial que permitirá controlar su efectiva participación en los exámenes y
pruebas realizados por este centro universitario. Dicho sistema será
utilizado única y exclusivamente para esta función de control y nunca para
ninguna otra finalidad distinta”. Así como la posibilidad de realizar un curso
totalmente online, sin desplazamientos ni pruebas presenciales, constituye
un elemento esencial para la contratación de la UIV.

c. Una vez formalizada la matrícula:

Se afirma que, una vez formalizada la matrícula (lo que denominan fase
contractual), el alumno recibe formación constante sobre el reconocimiento
facial y el tratamiento biométrico realizado por ***APLICACIÓN.1.

Se aportan por la Universidad varios documentos que contienen formación
relativa al registro biométrico del alumno en ***APLICACIÓN.1 como
Documentos 3.6 a 3.9, como son: el Manual de formación online con
control biométrico como documento 3.6 (***APLICACIÓN.4) y la
actualización de este mismo manual de agosto de 2023 como documento
3.7 (***APLICACIÓN.5), una guía de instalación e instrucciones de
***APLICACIÓN.1 como documento 3.8 y el protocolo de monitorización
mediante esta herramienta como Documento 3.9. Afirman que a través de
estos documentos se informa al alumno, al inicio del curso, sobre el
reconocimiento facial, el tratamiento biométrico y el uso de las dos cámaras
de monitorización.

o En relación con el consentimiento explícito de los alumnos al tratamiento
biométrico afirman que, además de disponer de las bases jurídicas antes
mencionadas, se solicita el consentimiento explícito, que “es solicitado al
usuario tanto en fase precontractual, cuando el interesado aún no es alumno y
tiene plena capacidad de elección de centro universitario, como en fase
contractual”. Afirman que el consentimiento es recabado en los siguientes
momentos:

(i) A través de la aceptación de las Condiciones Generales
aportadas como Documento 3.1 por la persona que va a realizar la
matrícula.

(ii) En el momento de registro de la imagen de la cara del usuario
en la herramienta, que debe aceptar también la Política de Privacidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/225

específica del tratamiento realizado con el software ***APLICACIÓN.1.
Se acredita documentalmente esta Política- de Privacidad
(“Documentos Agregados – (…)”).

Del análisis de este documento 3.10 Política privacidad el inspector
concluye que se informa al interesado sobre la identificación del
responsable de tratamiento, la finalidad del tratamiento, el tiempo de
conservación de los datos, la legitimación del tratamiento, los
derechos, sobre la inexistencia de transferencias internacionales y
sobre los posibles destinatarios. Y en relación con la legitimación del
tratamiento incluye el siguiente texto: “Le informamos que realizamos
los tratamientos indicados anteriormente de acuerdo con las
siguientes bases jurídicas: consentimiento y ejecución del contrato de
enseñanza suscrito con Usted para verificar que la persona que se
presenta al examen es parte en dicho contrato, e interés legítimo en el
caso de la prevención del fraude.”.

(ii) Por último, afirman que “todos los dispositivos utilizados durante el
examen deben ser instalados de forma manual y expresa por el
alumno, lo cual implica una acción expresa y categórica que refuerza
el consentimiento inicial al aceptar las condiciones”. Lo que consta
acreditado en el Manual de formación y descarga aportado como
documentos 3.6 y 3.7.

o En respuesta a nuestra consulta para que aporten la fecha de inicio de la
actividad de tratamiento del RAT, afirman que la UIV utiliza reconocimiento
facial y datos biométricos en exámenes desde el año 2017. Y consideran que
es un hecho notorio y conocido entre la comunidad de habla hispana que su
universidad responde al modelo académico de enseñanza 100% online con
reconocimiento facial y cumplimiento requisitos ANECA.

o Se aportan dos documentos como Documento 5 que contienen la Evaluación
de Impacto para la Protección de Datos Personales (EIPD), una evaluación
inicial realizada en septiembre del año 2020, y un segundo documento con una
actualización posterior de esta EIPD realizada en julio de 2023. Ninguno de
ellos está sellado ni firmado por la Universidad ni por la encargada del
tratamiento. Ambos documentos son idénticos en sus primeros 29 apartados,
siendo la diferencia básica entre ambos que en el documento denominado
“EIPD 2020-actualización julio 2023” se incluyen dos anexos de actualización.

Del análisis de ambos documentos, se extrae la siguiente información relevante
para la investigación:

(i) La EIPD incorpora una descripción sistemática de las operaciones de
tratamiento que detalla el flujo de datos existente en los tratamientos.

(i) Las finalidades del tratamiento son las 5 anteriormente mencionadas en
el RAT.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/225

(ii) Se analizan las Bases Jurídicas aplicables a este tratamiento con las
siguientes afirmaciones realizadas:

i. Sobre la Base Jurídica – Consentimiento del interesado
ii. Sobre la Base Jurídica 2 – Ejecución del contrato:
iii. Sobre la Base Jurídica – Interés Legítimo
iv. Sobre la Base Jurídica – Interés Público

(i) No aparece un análisis de las excepciones del artículo 9.2 del RGPD
que habiliten al tratamiento: la UIV niega que trate datos de categoría
especial porque el programa realiza comparaciones 1.1 propias de un
sistema de autenticación, y la EIPD señala que están excluidos de este
concepto según el Dictamen 3/2019 del Grupo de Trabajo del Artículo
29.

(ii) No obstante, incluye un análisis sobre el nivel de sensibilidad de los
datos biométricos del tratamiento, en el que se hace referencia a los
informes jurídicos de esta Agencia 0036/2020, 0047/2021 y las
Directrices 05/2022 del CEPD, afirmándose:

“El EDPB considera (en el ámbito Enforcement Law) la
normativa de manera restrictiva al suponer una injerencia grave
sobre los derechos y libertades de los interesados, siendo además
un tratamiento que afecta a una parte significativa de la población
y que no supone una acción positiva por parte de los individuos al
procesamiento de sus datos biométricos, cosa que no sucede en
el tratamiento en cuestión realizado por la UIV que si es conocido
por parte de los interesados y que afecta únicamente a los
alumnos de la entidad. Sin embargo, la AEPD en la consulta
N/REF 0098/2022 parece abrir la puerta a que si el EDPB reafirma
que el tratamiento de datos biométricos (identificación y
verificación) supone un tratamiento de datos de categoría especial,
dicha autoridad de control seguirá el mismo criterio. Es importante
recalcar que estos cambios de criterio en Poder Ejecutivo
constatan la falta de claridad en Poder Legislativo al redactar el
RGPD y obligan a acudir al Poder Judicial para que determine
finalmente el criterio a aplicar en la interpretación de la norma”. El
análisis concluye: “La conclusión no puede ser otra que la de
entender que la definición de datos biométricos incluye dos
finalidades, identificación y autenticación, y que únicamente la
identificación convierte a los datos biométricos en categorías
especiales de datos”.

(iii) La EIPD incluye las siguientes afirmaciones sobre la existencia de
decisiones automatizadas por parte de ***APLICACIÓN.1:

“El mecanismo de detección de conductas anómalas realizada por la
UIV no genera un perfil del estudiante, únicamente se alerta de
conductas sospechosas o anómalas”…“Aunque se puede decir que no
existe decisión automatizada en la medida que la alerta enviada al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/225

profesor de que existe posible infracción implica que el profesor realiza
la revisión, hay una decisión automatizada en sentido contrario ya que
el sistema selecciona aquellos alumnos cuyo proceso de evaluación
(en cuanto a la posibilidad de fraude) no van a ser revisados”.

“En relación con el control del escritorio la herramienta analiza entre
otras medidas programas abiertos, si el usuario entra en internet
durante el examen etc. Sin perjuicio de lo anterior, la herramienta
únicamente realiza capturas de pantallas y no es capaz de acceder a
información privada del ordenador del alumno. Asimismo, entre las
medidas para el control del fraude, también se realiza control del
alumno a través de segunda cámara, dicha información se procesa
mediante IA pero sin utilizar técnicas biométricas. En cualquier caso
no se toman decisiones automatizadas e interviene siempre la
intervención humana en la revisión. Para poder usar la segunda
cámara, el alumno debe acceder a código QR que remite a una URL
del encargado de tratamiento que solicitará permiso para acceder a
cámara de dispositivo personal.”.

(iv) La EIPD de 2020 y su actualización de 2023 incluyen la misma
evaluación de la necesidad y proporcionalidad del tratamiento, que se
encuentra dispersa en diversos apartados de la misma, concluyendo en
que el tratamiento es necesario y proporcional en un apartado de
conclusiones comunes, que señala lo siguiente:

“Las conclusiones son:
1.-Las operaciones de tratamiento analizadas son necesarias para
poder conseguir los fines propuestos por el responsable, ya que no se
ha identificado otra forma para conseguir los fines de tratamiento sin
tratar estos datos personales, o tratando menos datos.
2.- El uso de este tipo de sistema es necesario para que el proceso sea
eficiente y se aporten las garantías de calidad educativas necesarias.
3.- El estudiante recibe toda la información relativa a la modalidad de
impartición de la formación con anterioridad al inicio de contratación, de
manera que puede escoger entre la metodología de la UIV y la de otras
universidades. El estudiante conoce antes de ingresar que los
exámenes serán online y que habrá controles para evitar el fraude, por
lo que tiene otras alternativas de examen presencial en otras
universidades y el acceso a UIV es libre y con conocimiento de los
detalles del tratamiento analizado en esta Evaluación de Impacto.
4.-. Las operaciones de tratamiento realizadas son proporcionales, en el
sentido que no resultan excesivas para conseguir los fines propuestos
5.-El fabricante/suministrador dispone de datos biométricos
anonimizados, aportando por tanto garantías de seguridad sobre dichos
datos. Para poder realizar la comprobación de a que persona
pertenecen los datos biométricos será necesario el identificador
disponible en la herramienta Blackboard de la UIV.
6.- Ante el incremento del fraude académico, se considera que la única
manera de garantizar que no se produce dicho fraude en exámenes a

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/225

distancia es utilizar la tecnología y los medios ofrecidos por ella para
garantizar la igualdad de oportunidades y calidad de los estudios.”.
-La ventaja injusta frente a los demás que genera el fraude en la
evaluación para los alumnos que lo cometen y correspondiente
desventaja para el alumno que ha hecho el esfuerzo de estudiar.
-Mantener el prestigio y la confianza en la titulación obtenida por el
alumno, y conseguir que su valor en el mercado no disminuya”.

(v) Las dos EIPDs incluye el mismo análisis de los medios alternativos al
uso de tecnologías de reconocimiento facial para evaluar a los alumnos,
todos los medios analizados son los que la AEPD menciona en su
informe 0036/2020, así como los propuestos por la autoridad holandesa
de protección de datos. Y descarta su aplicación.

(vi) La EIPD incluye un análisis de los riesgos inherentes al tratamiento
tanto para los derechos y libertades de los afectados como la seguridad
de los datos personales tratados, concluyendo con la existencia de
riesgos de probabilidad ALTA e impacto MUY ALTO, aportándose un
plan de acción que incorpora diferentes controles y medidas preventivas
que se tienen por acreditadas en el Informe de Actuaciones Previas de
Investigación.

o En respuesta a la solicitud para que acrediten las medidas de seguridad para
garantizar los tratamientos, se aporta como Documentos 6.1 a 6.8, respecto de
los cuales el inspector considera que existen evidencias de haber adoptado las
siguientes medidas de seguridad:

- Certificación ***CERTIFICACIÓN.1 de ***EMPRESA.2 con fecha de
certificación inicial 28 de julio de 2023.
-Buenas prácticas de seguridad definidas por AWS.
-Medidas de seguridad de la infraestructura AWS (protección código
fuente, WAF, control acceso basado en IAM de AWS, cifrado de
buckets Amazon S3, Acceso SSH para administración de servidores,
conexiones BD túnel SSH, tráfico https, monitorización de permisos y
actividad a través de Access Advisor, colección de eventos con
filebeat-logstash-kibana, acceso restringido a instancias EC2,
segregación de roles y mínimo privilegio).
- Medidas de seguridad del sistema ***APLICACIÓN.1 a nivel de
usuario.
a. Certificado de ***EMPRESA.2 firmado en fecha 3 de julio de
2023 en el que confirma que no realiza perfilado de usuarios y que la
monitorización de la segunda cámara no hace uso de datos
biométricos.
b. La Política de Seguridad de la Información del ***EMPRESA.3.
c. Normas de uso de sistemas de información de ***EMPRESA.3.

o Por último, la reclamada realiza en el apartado 7 de su escrito “Otras
afirmaciones relevantes” referidas a que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/225

(i) La implantación de la tecnología ***APLICACIÓN.1 no es voluntaria, sino
que se realiza en cumplimiento del requisito de implantar controles de
prevención del fraude en los exámenes impuestos por la ANECA, en el
informe antes referido. Y a su vez, la Resolución de 6 de abril de 2021 de
la Secretaría General de Universidades indica la necesidad de utilizar una
cámara de control del entorno. Se acompaña copia de la misma como
Documento 7.1
(ii) También es una exigencia del mercado, puesto que los alumnos buscan
universidades que garanticen que no existiría fraude sino igualdad de
oportunidades.
(iii) El informe del inspector entiende destacable la afirmación siguiente: “La
Universidad Internacional de Valencia (UIV) cuenta con alumnos en todo el
mundo, especialmente América Latina. La alternativa de desplazamiento a
España o la creación de sedes físicas en todos los países para realizar un
examen presencial no se contempla en la UIV, ya que se trata de una
universidad internacional 100% online. El mercado reconoce que los
exámenes de la UIV utilizan reconocimiento facial mediante datos
biométricos, tecnología que viene utilizándose desde 2017”.

Tras las dudas suscitadas tras la información aportada en la respuesta al primer
requerimiento de información, en fecha 29 de noviembre de 2023 se decide realizar un
segundo requerimiento de información a la UIV marcado por la siguiente línea de
investigación:

o Requerir el contrato de encargo con ***EMPRESA.2.
o Investigar los detalles del contrato de enseñanza que firma el alumno.
o Investigar las posibles opciones de utilizar el software ***APLICACIÓN.1
eliminando la parte de reconocimiento facial haciendo uso de datos
biométricos.

En fecha 20 de diciembre de 2023 se recibe respuesta al segundo requerimiento
anterior por parte de la UIV, en la que:

o Se aporta como Documento 1 el contrato de encargo suscrito con la entidad
que desarrolla el sistema ***EMPRESA.2. En concreto, se trata de un
documento que contiene una segunda adenda modificativa, firmada el 19 de
diciembre de 2022, que actualizaba un contrato previo de servicios firmado el
27 de mayo de 2015.

o De esta adenda de 19 de diciembre de 2022 -que coincide con la fecha en que
los alumnos a los que se refiere este expediente recibieron el primer correo
electrónico que les instaba a utilizar la aplicación ***APLICACIÓN.1 a partir del
16 de enero de 2023-, se extraen las siguientes conclusiones en el Informe de
actuaciones previas de investigación:

(i) “Que ambas partes celebraron el 27 de mayo de 2015 contrato
de servicio del sistema ***APLICACIÓN.1 de autenticación del
alumno online, en virtud del cual el cliente tiene contratado el
sistema de software ***APLICACIÓN.1 del suministrador.
Posteriormente, el 18 de marzo de 2020 suscribieron una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/225

extensión al citado contrato y en fecha 20 de diciembre de 2021
una adenda modificativa al mismo”.

(i) La adenda de 19 de diciembre de 2022 incorpora un anexo con
el contrato de encargo de tratamiento, este contrato incorpora,
entre otros aspectos:
i. Las obligaciones del suministrador como encargado de
tratamiento.
ii. Facultades de UIV como responsable de tratamiento.
iii. Los datos objeto del tratamiento, indicándose que se tratan
categorías especiales de datos de los estudiantes.
iv. Las operaciones de tratamiento.

o Como “contrato de enseñanza” se aporta acreditación documental de todo el
proceso de matriculación del alumno, a través de capturas de pantalla con
leyendas explicativas contenidas en el escrito de respuesta, considerando el
inspector en su informe que el contrato de enseñanza se celebra al formalizar
dicho proceso de matrícula online y aceptar las condiciones generales que
fueron aportadas en su Escrito 1.

o En respuesta al requerimiento para que indiquen las opciones existentes en
***APLICACIÓN.1 que permitan excluir el tratamiento biométrico, afirman en su
punto tercero apartado b del escrito que como puede verse en el contrato de
encargado del tratamiento con ***APLICACIÓN.1 la oferta de esta empresa
contempla tres modalidades de servicio:
“ La oferta de ***EMPRESA.2 contempla tres modalidades de servicios:
***APLICACIÓN.1+ Control de Monitor y control biométrico
***APLICACIÓN.2Vigilancia con cámara externa
***APLICACIÓN.3 Revisión humana sin biometría

o Respecto al análisis de otras alternativas, señalan lo siguiente:

“El servicio de Revisión humana sin análisis biométrico nunca se ha
contratado porque consiste en un único proceso de verificación humana
de la identidad del alumno al inicio del curso y antes de empezar un
examen, pero este servicio no incluye la autenticación continua durante
el examen y carece de la eficacia necesaria en la prevención de la
suplantación de identidad en los exámenes online”.

“El servicio de ***APLICACIÓN.3 consiste en que los alumnos no
pasan por el control biométrico, sino que conectan con un agente de
***APLICACIÓN.1, le enseñan su cara a través de la webcam y el
agente de ***APLICACIÓN.1 simplemente marca a ese alumno como
‘checkeado’ antes de iniciar el examen. Se trata por lo tanto de un
proceso de identificación humana analógica que no es una alternativa
válida al control biométrico y que no habría tenido la misma
consideración por la Agencia Estatal ANECA para otorgar la oficialidad
de un título.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/225

Como puede verse en la evaluación de impacto aportada en el escrito
anterior, antes de adoptar el control biométrico la VIU analizó las
distintas alternativas de control existentes y llegó a la conclusión de que
la única medida que evitaba de forma eficaz la suplantación de
identidad en los exámenes online era el control biométrico

Este modelo de control fue validado por la Agencia Estatal ANECA tras
presentar las oportunas alegaciones y superar las no conformidades
identificadas previamente por ANECA en la prevención de la
suplantación de identidad y la prevención del fraude en los exámenes
online.”

o Finalmente, señalan que han contratado únicamente las dos primeras
modalidades de ***APLICACIÓN.1 (***APLICACIÓN.4 y ***APLICACIÓN.2),
indicando lo siguiente: “Como puede verse en la muestra de facturas que se
aporta como DOCUMENTOS 2, 3 y 4, los servicios contratados y facturados se
limitan al Control de monitor y control biométrico, que aparece en las facturas
como CM y el servicio de vigilancia con cámara externa, que aparece en la
factura como Externa.”

CUARTO: Con fecha de 22 de abril de 2024 se obtiene informe mercantil de la
herramienta AXESOR, en el que consta que la entidad UNIVERSITAT
INTERNACIONAL VALENCIANA-VALENCIAN INTERNATIONAL UNIVERSITY, S.L. es
una empresa de tamaño grande constituida en el año 2013, y con un volumen de
negocios de ***CANTIDAD.1 euros en el año 2021.

QUINTO: Con fecha 25 de abril de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la comisión de dos presuntas infracciones administrativas del
Artículo 9 del RGPD y Artículo 5.1.c) del RGPD, tipificadas en el Artículo 83.5 a) del
RGPD.

SEXTO: Notificado el citado acuerdo de inicio conforme a la LPACAP con fecha de 29
de abril de 2024, la parte reclamada solicitó ampliación de plazo el 30 de abril de 2024
y ésta le fue concedida mediante acuerdo de 7 de mayo de 2024.

Finalmente, y dentro del plazo concedido, la entidad reclamada presentó escrito de
alegaciones el 21 de mayo de 2024, en el que, en síntesis, alega que se trata de una
resolución manifiestamente injusta y contraria a derecho, realizando una alegación
previa más 10 motivos que se exponen a continuación (incluyendo por razones
similitud, la alegación previa y primera en un solo motivo):

o Dos categorías de datos biométricos. Sobre la diferenciación entre
verificación/autenticación e identificación biométrica.

Mantienen que se trata de una resolución manifiestamente injusta y contraria a
derecho puesto que la verificación/autenticación que realiza su Programa

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/225

***APLICACIÓN.1 no supone tratamiento de datos biométricos según lo que
disponen las directrices del CEPD, y la propia normativa existente.

Según la Universidad, tanto el Comité Europeo de Protección de Datos
(CEPD) como la propia AEPD han mantenido durante años una doctrina
consolidada sobre la diferenciación entre identificación biométrica (1:n) y
verificación/autenticación biométrica (1:1), que ahora se ha cambiado. El
artículo 9.1 del RGPD, únicamente se refiere a la identificación biométrica
y no incluye la verificación biométrica en la lista de tratamientos de alto
riesgo ni, por consiguiente, en la lista de categorías especiales de datos. Ello
significaba, según manifiesta la UIV que existen dos categorías de datos
biométricos: los que comportan un alto riesgo para los derechos y
libertades de los interesados y los que no.

Según su entender, recientemente, se ha cambiado dicha interpretación por el
Comité Europeo de Protección de Datos (en adelante, CEPD) en las Directrices
del CEPD 5/2022, de acuerdo con la cual los procesos de
verificación/autenticación también serían considerados como datos
biométricos, incluidos como datos de alto riesgo y de categoría especial.

La universidad discrepa del nuevo criterio expresado en estas Directrices,
manifestando que la extensión que se realiza en las mismas del Considerando
51 del RGPD es contradictoria con lo señalado en el Considerando 91 del
RGPD -según el cual existen dos categorías de datos biométricos: los que
implican alto riesgo y los que no- y con el artículo 9.1 del RGPD, que solo
incluye los tratamientos biométricos de identificación unívoca como de
categoría especial, y no los de verificación.

Y por otra parte, entiende que las Directrices 5/22 no son aplicables a este
supuesto, puesto que se refieren únicamente al contexto de la ley e
investigación policial, cuando el sistema ***APLICACIÓN.1 utilizado por la
Universidad se basa en el consentimiento.

Por otra parte, la universidad señala que la AEPD mantuvo una posición
ambivalente hasta noviembre de 2023, momento en el que publicó una
"guía no vinculante" sobre tratamientos de control de presencia
mediante sistemas biométricos (en adelante, Guía de Biométricos), que sigue
el nuevo criterio de las Directrices del CEPD 5/202. Entiende que durante un
periodo de 6 años no existía criterio, que éste no puede serle aplicable
retroactivamente, y que la guía no es una norma jurídica porque no es
vinculante.

E indican también que según el nuevo Reglamento de Inteligencia Artificial (en
adelante, RIA) la verificación biométrica de identidad que realiza el programa
de la UIV se considera excluida, y no se considera tratamiento de datos
biométricos de categoría especial ni tratamiento de alto riesgo. Señalan que el
RIA establece dos categorías de datos biométricos: a) de carácter general, que
son los que no suponen alto riesgo; y b) los datos biométricos que suponen alto
riesgo. Lo que corrobora la interpretación que excluye la verificación biométrica
de los datos de categoría especial, según la entidad reclamada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/225

o El sistema ***APLICACIÓN.1 contratado por la universidad para realizar el
reconocimiento facial continuo del alumno no cumple las características de la
definición de datos biométricos a la que se refiere el apartado 2.1 del Acuerdo
de Inicio.

Básicamente, se insiste en que al registrar al alumno no se guarda lo que la
UIV denomina como un “patrón biométrico”, sino que éste se crea y se destruye
en el momento de la verificación que se realiza durante el examen, que se
guarda un máximo de dos segundos. Verificación que “se realiza en tiempo real
comparando el patrón biométrico creado en ese momento a partir de la foto
realizada por el alumno en el momento de registro y el patrón biométrico
creado en ese momento a partir de la captura realizada durante el examen”.

Se señalan otras características técnicas de ***APLICACIÓN.1, como que
utiliza datos personales pseudononimizados, de manera que la aplicación no
contiene la identidad del alumno, y que utiliza un código numérico para el
tratamiento de los datos. Que el proceso elimina la posibilidad de que se
produzcan falsos positivos o negativos.

o Inexistencia de riesgos adversos. Puesto que la muestra tomada para crear el
patrón biométrico es muy reducida y limitada, e insuficiente para realizar otras
acciones que no sean la verificación de identidad.

o La aplicación ***APLICACIÓN.1 no cumple con las características de las
plantillas biométricas establecidas en el apartado 2.2 del Acuerdo de Inicio.

Se insiste en que no guarda patrones biométricos en el momento de registro, y
que solo archiva el patrón biométrico por dos o tres segundos, tal y como
demuestra la tabla de Roxburgh. Se añaden que las dos primeras EIPD
realizadas por la universidad siguieron el criterio anterior mantenido por el
CEPD y la Agencia que no consideraba dato biométrico a los obtenidos de
sistemas de verificación.

o Exégesis del artículo 9 del RGPD: Aportan la tabla de Roxburgh publicada en
un Libro de 2017 sobre la huella dactilar por el departamento de justicia de
Estados Unidos para argumentar por qué no existen falsos positivos o
negativos en su sistema, y justificar que la verificación biométrica que
cuenta con el consentimiento del interesado elimina radicalmente el número de
falsos positivos o negativos. Además de insistir, una vez más, en que la
verificación biométrica no entra dentro del ámbito de aplicación del artículo 9.1
del RGPD.

o Consentimiento explicito como excepción del artículo 9.2 del RGPD y base
jurídica del tratamiento.

Se cambia lo manifestado en su primer escrito de respuesta, y se señala que
presta el consentimiento por el alumno en 4 fases:

a) Consentimiento pre-contractual, en la que a través de la publicidad ofertada
del curso y las condiciones generales en las que se expresa que el curso es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/225

100%online, incluidos los exámenes, el alumno tiene libertad de elección
sobre si contratar con esa Universidad u otra.
b) Consentimiento contractual: en que el alumno consiente expresamente al
formalizar la matrícula y aceptar las condiciones generales.
c) Consentimiento durante el proceso de registro de la imagen: al aceptar la
política de privacidad.
d) Consentimiento al instalar la aplicación ***APLICACIÓN.1: que describe en
un video y tutorial cómo es todo el proceso de verificación durante el
examen.

Siendo una universidad 100% online se descarta cualquier alternativa que
implique la realización de exámenes presenciales. El alumno puede elegir
libremente contratar con otra universidad. No hay desequilibrio de poder entre
estudiante y universidad, y tiene multitud de beneficios para el estudiante que
se detallan. Se adjunta como DOCUMENTO 1, el informe de ponderación de
intereses adjunto a la EIPD.

Sin embargo, señala también la universidad que su consentimiento es
necesario para poder matricularse y poder realizar los exámenes, puesto que
es obligatorio comprobar su identidad y que está compitiendo con garantías y
las mismas oportunidades que los demás.

o El interés público esencial como excepción del artículo 9.2 del RGPD y base
del tratamiento.

Tras reconocerse que no existe una necesidad social acuciante que acredite la
existencia de un interés público esencial en prevención del fraude en los
exámenes, se indican los factores que la Agencia no ha tenido en cuenta al
respecto.

o Concurrencia de una base de licitud del artículo 6.1 del RGPD.

Concurre base de licitud amparada en el consentimiento libre y pleno del
estudiante, y en el interés legítimo de ambas partes, siendo la Agencia la que
debe acreditar la carga de la prueba por tratarse de un sancionador.

o La aplicación ***APLICACIÓN.1 es necesaria, idónea y proporcional: dada
la extensión de las alegaciones realizadas, se hará referencia a ellas en el
Fundamento de Derecho V, dedicado a su análisis.

o En relación con las circunstancias agravantes. Se alega respecto a los
siguientes:

o Respecto a la circunstancia de graduación relativa a la “Naturaleza. gravedad
y duración de l a infracción”, se señala que es arbitrario e injusto que la AEPD
aplique como circunstancia agravante la duración del tratamiento, superior a 6
años, cuando la práctica totalidad de este periodo ha coincidido con la situación
en que la propia AEPD no ha clarificado su posición hasta noviembre de 2023,
es decir, con posterioridad a los hechos denunciados. Es más, podría
entenderse que con ello, la AEPD va contra sus propios actos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/225

o Sobre la circunstancia relativa a la concurrencia de “lntencionalidad o
negligencia en la infracción”, niega su concurrencia, dado que se ha
demostrado que la VIU ha actuado en todo momento de forma diligente,
realizando las evaluaciones de impacto oportunas, que fueron actualizadas tras
la publicación de las Directrices 5/2022 del CEPD. La VIU ha entendido en todo
momento que la autenticación biométrica no está incluida en el alcance del
artículo 9.1 del RGPD, ya que los datos necesarios para realizar una
comparación 1:1 son mínimos y no pueden ser utilizados para ninguna otra
finalidad. Esta tesis ha sido confirmada por el nuevo RIA. Por tanto, es
inadmisible la calificación de negligencia grave al analizar estas Directrices en
su evaluación de impacto y considerar que no le eran aplicables. Se alega así
mismo que según la reciente sentencia del Tribunal de Justicia de la UE de 5
de diciembre de 2023 el incumplimiento del RGPD únicamente puede
sancionarse en el caso de que concurra dolo o negligencia, la prueba del dolo
o negligencia corresponde a la administración, y la Agencia no ha probado la
misma en este procedimiento. Por otra parte, señalan que la UIV ha acreditado
ampliamente su diligencia al verificar de forma continuada que el tratamiento
no ponía en riesgo los derechos y libertades de los estudiantes.

o En relación con la circunstancia de vinculación de la actividad del infractor con
la realización de tratamientos de datos personales, se alega que esta
circunstancia está reservada para las empresas cuyo objeto social y su
actividad principal es el tratamiento de datos personales, por lo que no es
aplicable a la VIU que es una universidad internacional que se dedica a la
enseñanza.

o Por último, en cuanto a la aplicación de la circunstancia relativa a las
categorías de los datos de carácter personal afectados por la infracción, vuelve
a mantener que la UIV no trata datos biométricos.

Junto con su escrito de alegaciones, la UIV aporta la siguiente documentación:

o Como Documento 1, acompaña Informe de Ponderación del interés legítimo del
tratamiento, que consta como actualización de enero de 2024 de la EIPD.
o Como Documentos 2 a 4, aporta las facturas emitidas entre agosto y
noviembre de 2023 al objeto de abonar el pago de los exámenes contratados
con ***EMPRESA.2, que se han realizado de acuerdo con el programa
***APLICACIÓN.1 contratado en diciembre de 2022.

SÉPTIMO: Con fecha de 24 de julio de 2024 se presenta nuevo escrito por la
Universidad que amplía las alegaciones formuladas al objeto de aportar el Informe de
peritaje de la herramienta de “Proctoring online ***APLICACIÓN.1” elaborado por el
***EMPRESA.3 el 22-7-2024.

OCTAVO: Con fecha de 22 de julio de 2024 se dicta por la Directora de la AEPD
Acuerdo de cambio de instructor, que le es notificado a la entidad reclamada el 26 de
agosto de 2024.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/225

NOVENO: Con fecha de 24 de julio de 2024, se presenta escrito por la UIV, aportando
un informe pericial de la consultoría informática ***EMPRESA.3, en el que se señala lo
siguiente:

“Que, por medio del presente escrito, y de conformidad con el “Otrosí” en el que
se solicitó el recibimiento del procedimiento a prueba, se viene a aportar un
Dictamen Pericial sobre la herramienta de vigilancia ***APLICACIÓN.1, emitido
por A.A.A., en fecha 23 de julio de 2024, junto con un certificado final, y cuyas
conclusiones son:

“El peritaje realizado a la herramienta de proctoring online ***APLICACIÓN.1
ha demostrado que esta cumple con los requisitos establecidos por la Agencia
Española de Protección de Datos (AEPD) y los criterios específicos definidos
por VIU (***EMPRESA.3). Las pruebas y verificaciones técnicas aseguran que:
1. No se crean ni almacenan patrones biométricos permanentes de los
alumnos. 2. Los datos biométricos se procesan y destruyen inmediatamente
después de cada verificación en tiempo real. 3. Se realizan múltiples
verificaciones durante el examen para confirmar la identidad del alumno. 4. El
proceso incluye supervisión humana para minimizar errores y falsos positivos.
2 5. El tratamiento de datos se realiza en un entorno seguro y cifrado
proporcionado por AWS y por la configuración de los servicios que forma parte
de la arquitectura de la aplicación, aplicando un modelo de responsabilidad
compartida entre AWS y ***APLICACIÓN.1. 6. Los datos de los alumnos se
pseudonimizan durante todo el proceso. Con base en los resultados obtenidos,
se concluye que la herramienta ***APLICACIÓN.1 cumple con todos los
requisitos de conformidad establecidos y no existen alternativas menos
intrusivas que ofrezcan el mismo nivel de seguridad y autenticidad en la
verificación de la identidad de los alumnos. Se emite, por tanto, un certificado
de conformidad en favor de la herramienta ***APLICACIÓN.1 para su continua
utilización por parte de VIU (***EMPRESA.3).”

Junto a dicho escrito se aportan 3 documentos firmados por A.A.A., de la entidad
de consultoría informática denominada ***EMPRESA.3, que se expide con fecha
de 23 de julio de 2024:

o “Certificado Report final Peritaje Herramienta Vigilancia ***APLICACIÓN.1”.
o Informe de seguridad: informe técnico con la descripción de las pruebas
realizadas y los resultados. –
o Anexo I evidencias recopiladas durante las pruebas.

DÉCIMO: Con fecha de 16 de diciembre de 2024 se expide Diligencia de la instructora
para unir al procedimiento la actualización del Informe mercantil de la herramienta
Axesor que se obtiene con fecha de 2 de octubre de 2024, en el que se hace constar
que la UNIVERSIDAD INTERNACIONAL DE VALENCIA dispone de un volumen anual
de negocio de ***CANTIDAD.2 € para el ejercicio 2022.

ÚNDÉCIMO: Con fecha de 16 de diciembre de 2024 se expide Diligencia de la
instructora para hacer constar los datos relativos a la oferta académica de la UIV
publicada en su página web, así como los alumnos que constan matriculados en los
estudios de grado, máster y doctorado de la UIV entre los cursos 2019-2020 y 2023-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/225

2024, que se tienen en consideración para graduar el alcance de la infracción y la
sanción a imponer.

DUODÉCIMO: Con fecha de 15 de enero de 2025 se dicta Acuerdo de apertura de
período de Prueba, dando por reproducidos todos los documentos obrantes en el
expediente, se unen las Diligencias de volumen de negocio y alumnos matriculados
expedidas el 16 de diciembre de 2024, se admite como prueba el informe pericial
presentado y requiriendo a la UIV que aporte en un plazo de 10 días:

o 4.1.Todos los contratos celebrados con la entidad encargada del desarrollo del
programa ***APLICACIÓN.1, que se mencionan en la adenda modificativa de
19-12-22 que fue aportada como Documento 1 de su respuesta al segundo
requerimiento de investigación realizado por esta Agencia.
o 4.2. Aclare en qué fechas se contrató y pusieron en funcionamiento efectivo las
diferentes modalidades de ***APLICACIÓN.1 con reconocimiento facial que se
hayan contratado con ***EMPRESA.2, aclarando a qué se corresponde la
versión “***APLICACIÓN.5” que consta aportada como Documento 3.8, que no
consta mencionada en la adenda contractual aportada.
o 4.3. Aporte las prescripciones técnicas de cada modalidad de
***APLICACIÓN.1 que haya sido puesta en funcionamiento emitidas por el
fabricante/suministrador o entidad encargada de su desarrollo.
o 4.4. Dado que solo se aportan dos manuales, que se corresponden
***APLICACIÓN.4 y ***APLICACIÓN.5 y datan de agosto de 2023, aclare y
aporte acreditación de las fechas de puesta a disposición o entrega de los
manuales de formación e información técnica correspondiente a las versiones
***APLICACIÓN.4, ***APLICACIÓN.2, ***APLICACIÓN.5 y cualesquiera otras
que se hayan podido emplear como método de verificación de identidad y
control de fraude en los exámenes de la universidad desde mayo de 2018.

DECIMO TERCERO: Tras solicitar ampliación de plazo y entrega de copia del
expediente (no solicitada hasta el momento) con fechas de 29 y 30 de enero de 2025,
se concede ampliación de plazo y entrega la copia del mismo con fecha de 4 de
febrero de 2025.

DÉCIMO CUARTO: Con fecha de 6 de febrero de 2025, la UIV presenta escrito de
contestación al requerimiento de prueba realizado, en el que aporta los siguientes
documentos, y realiza alegaciones:

o DOC 1. Contratos y adendas suscritos con ***EMPRESA.2, que según la UIV
“estaban vigentes a 25-4-21”
a) Contrato de servicios suscrito el 27 de mayo de 2015.
b) Extensión del contrato de servicio de 27 de mayo de 2015, suscrita el 18 de
marzo de 2020.
c) Adenda modificativa al contrato de servicio de 27 de mayo de 2015, suscrita
el 14 de junio de 2021.
d) Adenda modificativa al contrato de servicio de 27 de mayo de 2015, suscrita
el 20 de diciembre de 2021.
o DOC 2. Informe de ***EMPRESA.2 sobre las modalidades del programa
***APLICACIÓN.1 contratadas por la UIV. Que señala que: “únicamente

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/225

disponen de tres planes o versiones del programa ***APLICACIÓN.1, cuyas
denominaciones y características técnicas serían las siguientes:
“• ***APLICACIÓN.6: Diseñado para la monitorización de los equipos de los
usuarios en entornos de aula. En este caso, el sistema solo supervisa o
bloquea el ordenador, mientras que la verificación de la identidad de los
estudiantes queda bajo la responsabilidad del profesor.
• ***APLICACIÓN.4: Incluye todas las funcionalidades de ***APLICACIÓN.6,
pero añade un sistema
de autenticación de identidad mediante la webcam del ordenador.
• ***APLICACIÓN.7: Contiene todas las características de ***APLICACIÓN.4,
con la diferencia de que incorpora la supervisión del entorno del usuario, tal
como exigen las agencias de acreditación. Para ello, se requiere el uso de una
segunda cámara”.
Se corrigen dos datos que se habían proporcionado en escritos anteriores,
puesto que el Informe de ***EMPRESA.2 señala que: “Las referencias a las
versiones “***APLICACIÓN.2” o “***APLICACIÓN.5” son erróneas y deben entenderse
referidas a la versión ***APLICACIÓN.7, que incorpora la supervisión del entorno del
usuario a través de una segunda cámara. Es fundamental destacar que el Informe
***EMPRESA.2 expone que todas las versiones descritas funcionan del mismo modo
en lo que se refiere a los aspectos técnicos del sistema —según se expondrá en el
apartado siguiente— y que, en el caso de VIU, en el año 2018 se pasó de la versión
***APLICACIÓN.4 a la versión ***APLICACIÓN.7:

 Respecto a las prescripciones técnicas de funcionamiento de todas las versiones del
programa: señala que no puede aportarlas porque el propio fabricante/suministrador
del programa indica lo siguiente: “Finalmente, y en respuesta al requerimiento del
apartado 4.3 del acuerdo de la AEPD, debemos aclarar que no se han publicado unas
prescripciones técnicas de cada modalidad ***APLICACIÓN.1, más allá de la
información que se encuentra disponible en nuestra página web”. Para completar esta
prueba, en su apartado 3º, el Informe ***EMPRESA.2 expone cuáles son las
prescripciones técnicas relativas al tratamiento de los datos biométricos, las cuales son
comunes en las 3 versiones existentes”
o DOC 3. Manuales de Formación del programa.

La UIV señala que: “En atención al hecho que estos manuales son puestos a
disposición en el aula
general virtual, la cual técnicamente siempre tiene la misma dirección URL, y al
no existir registros sobre el momento en que fueron colgados estos manuales,
no nos resulta posible precisar la fecha exacta en la que fue puesta a
disposición cada una de las versiones de los manuales”, y aporta como
Documento núm. 3 las siguientes versiones de los manuales, adicionales a las
que ya fueron aportadas de agosto de 2023:
a) Versión de diciembre de 2020.
b) Versión de agosto de 2022.

DÉCIMO QUINTO: Con fecha de 26 de febrero de 2025 se presenta un nuevo escrito
de alegaciones al acuerdo de inicio por parte de B.B.B., actuando en nombre y
representación de la UIV, en el que se señala que como consecuencia de la
producción de hechos nuevos se formulan nuevas alegaciones solicitando el archivo
del expediente. En síntesis, se alega lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/225

Primera. – El Expediente Sancionador parte de una premisa errónea: los datos
biométricos para la autenticación/verificación no constituyen una categoría
especial de datos personales al amparo del artículo 9.1 del RGPD.

Se vuelven a reiterar las alegaciones realizadas en el escrito de 21 de mayo de
2024, y se añade una sentencia.

Segunda. – El Reglamento de Inteligencia Artificial (RIA) y la Directiva
2024/2831 acreditan que los datos biométricos para la
autenticación/verificación no constituyen una categoría especial de datos
personales.

Además de reiterar todo lo antedicho respecto a la regulación del RIA, se
añade que la nueva Directiva 2024/2381 de 23 de octubre, relativa a la mejora
de las condiciones laborales en el trabajo en plataformas (en adelante, la
“Directiva 2024/2831”), señalando que su considerando 41 diferencia
claramente entre los “datos biométricos con fines de identificación” y los “datos
biométricos con fines de verificación de la identidad de la persona”, únicamente
prohibiendo el tratamiento de los primeros; y que el artículo 7.1.f) de la misma
únicamente limita el tratamiento de los datos biométricos con fines de
identificación, no los datos biométricos con fines de verificación: “1. Las
plataformas digitales de trabajo no podrán, mediante sistemas automatizados
de seguimiento ni sistemas automatizados de toma de decisiones: […)

DÉCIMO SEXTO: Con fecha de 6 de marzo de 2025 se dicta propuesta de resolución
de este expediente, que se notifica con fecha de 12 de marzo de 2025, en la que se
acuerda desestimar las alegaciones realizadas por la universidad reclamada, y se
propone que:

“Que por la Directora de la Agencia Española de Protección de Datos se sancione
a UNIVERSITAT INTERNACIONAL VALENCIANA-VALENCIAN
INTERNATIONAL UNIVERSITY, S.L., con NIF B98585797, por la comisión de dos
infracciones:

o Una infracción del Artículo 9 del RGPD, tipificada en el Artículo 83.5
del RGPD, con una multa de 450.000,00 € (*cuatrocientos cincuenta mil
euros).

o Una infracción del Artículo 5.1.c) del RGPD, tipificada en el Artículo
83.5 del RGPD, con una multa de 550.000,00 € (* quinientos cincuenta mil
euros)”.

DÉCIMO SÉPTIMO: Con fecha de 20 de marzo de 2025 se solicita por la UIV
ampliación de plazo de alegaciones para contestar a la propuesta de resolución, y con
fecha de 24 de marzo de 2025 se acuerda dicha ampliación del plazo de alegaciones
por un periodo de 5 días hábiles.

DÉCIMO OCTAVO: Con fecha de 1 de abril de 2025, la UIV presenta escrito de
alegaciones frente a la propuesta de resolución del expediente (en adelante, AlegPR),
que se compone de 88 páginas organizadas en las siguientes alegaciones (cuestión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/225

previa, alegación preliminar y alegaciones primera a sexta), cuyos enunciados se
enumeración a continuación (transcripción literal):

o “CUESTIÓN PREVIA: La Propuesta de Resolución vulnera los derechos
fundamentales de VIU: vulneración del principio de aplicación retroactiva de la
ley más favorable y del principio non bis in ídem.

1. Existencia de hechos nuevos que conllevan el archivo del
Expediente Sancionador: el RIA y la Directiva 2024/2831 disponen que
los datos biométricos para la autenticación/verificación (1:1) no
constituyen una categoría especial de datos personales. Aplicación
retroactiva de la ley más favorable.
2. Vulneración del principio non bis in idem: se imputan dos
infracciones a unos mismos hechos.

o ALEGACIÓN PRELIMINAR– Síntesis de la controversia suscitada.

1. Conducta imputada a mi representada: uso del programa
***APLICACIÓN.1 en la realización de exámenes por parte de los
alumnos. Relación de Hechos Probados.
2. Infracciones imputadas a mi mandante.
3. Síntesis de los motivos oposición a la Propuesta de Resolución.

o ALEGACIÓN PRIMERA: La Propuesta de Resolución parte de una premisa
errónea: los datos biométricos para la autenticación/verificación (1:1) no
constituyen una categoría especial de datos personales al amparo del artículo
9.1 del RGPD. La conducta imputada a VIU es atípica.

1– Introducción.
2.–Diferenciación del tratamiento de datos biométricos para la
verificación/autenticación de una persona (1:1) del tratamiento de estos datos
para identificar a una persona (1:n). Esta distinción se ha mantenido tras la
aprobación del RGPD, como así lo ha reconocido la AEPD.
3. – El tratamiento de datos biométricos para la verificación/autenticación (1:1)
está excluida de las categorías especiales de datos personales previstas en el
artículo 9.1 del RGPD.
4. –Prohibición de aplicar retroactivamente normas sancionadoras
desfavorables.
5. – El RIA y la Directiva 2024/2831 acreditan que los datos biométricos para la
autenticación/verificación no constituyen una categoría especial de datos
personales. En todo caso, se deben aplicar retroactivamente estas normas.
6. – La Propuesta de Resolución lleva a cabo una interpretación extensiva “in
malam parte”.
7. – Idoneidad de los sistemas biométricos de verificación y su nula afección a
los derechos fundamentales.
8. – Conclusiones.

o ALEGACIÓN SEGUNDA: La Propuesta de Resolución vulnera el principio non
bis in idem, establecido en el artículo 39.5 de la LRJSP, ya que imputa la
comisión de dos infracciones por unos mismos hechos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/225

o ALEGACIÓN TERCERA: No se ha vulnerado el artículo 9 del RGPD: el
consentimiento prestado por los alumnos es libre y el tratamiento es necesario
por razones de interés público esencial.

1.--Introducción.
2. – El consentimiento prestado por los alumnos es libre. El consentimiento
debe valorarse en el momento en que se presta, cuando se consuma el
contrato, sin que, de manera sobrevenida y con posterioridad, sean exigibles.
3. – El tratamiento está amparado por razones de interés público esencial,
según así lo ha reconocido la AEPD en casos anteriores.
4-. Conclusiones.

o ALEGACIÓN CUARTA. No se ha vulnerado el artículo 5.1.c) del RGPD: el
tratamiento es necesario y proporcional.

1– Introducción.
2. – No existen medidas alternativas que sean adecuadas, necesarias y
proporcionales en sentido estricto. Por tanto, el tratamiento llevado a cabo por
VIU es necesario.
3. – El tratamiento llevado a cabo por VIU es proporcional en sentido estricto.
No se debían ponderar los (inexistentes) beneficios y perjuicios derivados de
las medidas alternativas, ya que estas no son aptas para cumplir con la
finalidad pretendida.
4. – Conclusiones.

o ALEGACIÓN QUINTA. La Propuesta de Resolución vulnera el principio de
culpabilidad: ante las dudas interpretativas que se derivan del RGPD, no cabe
imponer una sanción.

1. – Introducción.
2. – Como así lo ha reconocido esta Agencia, es una cuestión
controvertida que el tratamiento de datos biométricos para la verificación
constituya una categoría especial de datos personales.
3. – El principio de culpabilidad impide que se pueda sancionar a un
sujeto que haya actuado bajo una interpretación razonable de la norma. La
Propuesta de Resolución vulnera la doctrina del Tribunal Supremo y su
reciente pronunciamiento en el caso de LaLiga.
4. No se puede considerar que VIU ha actuado con una negligencia
grave o muy grave por haber sostenido una interpretación distinta que la
mantenida por la Guía AEPD 2023.
5. Conclusiones.

o ALEGACIÓN SEXTA: Incorrecta aplicación de los criterios de graduación de
las sanciones.

1. – Introducción.
2. – Incorrecta graduación de la sanción impuesta por la supuesta
infracción del artículo 9 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/225

3. . – Incorrecta graduación de la sanción impuesta por la supuesta
infracción del artículo 5.1.c) del RGPD.
4. Conclusiones.”

Al escrito de alegaciones frente a la propuesta de resolución del expediente se
acompañan 3 documentos:

o Documento 1. Informe del Centro Criptográfico Nacional de diciembre de 2024
sobre Tecnologías Biométricas Seguras para el Control de Acceso.

o Documento 2. Resolución de procedimiento sancionador núm. PS 41/2022,
referente a la Fundación para la Universidad Oberta de Catalunya ( en adelante
FUOC), de la Autoridad Catalana de Protección de Datos.

o Documento 3. Informe TESLA “D5.3 – Instruments technical description
and development scheduling” de 29/07/2016. En idioma inglés, sin acompañar
la traducción al español.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: Consta acreditado que la UIV utiliza para la realización de sus exámenes
online el programa/software de “***PROGRAMA.1” que emplea técnicas de
reconocimiento facial, inteligencia artificial y mecanismos de decisión automatizada
con el objeto de verificar la identidad de los alumnos que participan en sus exámenes
online y monitorizar su comportamiento a los efectos de evitar el fraude/plagio en los
exámenes y garantizar la calidad e integridad académica. Sistema que está
implantado como método obligatorio de examen para sus alumnos, sin que se ofrezca
a los mismos otra alternativa.

La herramienta contratada se denomina ***APLICACIÓN.1 y ha sido desarrollada por
la empresa ***EMPRESA.2, con la que la UIV formalizó un contrato inicial de servicios
y encargo del tratamiento el 27 de mayo de 2015 que fue objeto de varias extensiones
y actualizaciones, la última de las cuales fue suscrita mediante adenda contractual de
19-12-22.

De acuerdo con la cláusula primera de adenda contractual suscrita el 19-12-2022 entre
***EMPRESA.2 y la UIV, aportada como Documento 1 del escrito de 20 de diciembre
de 2023, se dispone que: “Que ambas partes celebraron el 27 de mayo de 2015
contrato de servicio del sistema ***APLICACIÓN.1 de autenticación del alumno online,
en virtud del cual el cliente tiene contratado el sistema de software ***APLICACIÓN.1
del suministrador. Posteriormente, el 18 de marzo de 2020 suscribieron una extensión
al citado contrato y en fecha 20 de diciembre de 2021 una adenda modificativa al
mismo”. Todas estas extensiones y adendas modificativas han sido aportadas por la
universidad con fecha de 6-2-25.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/225

De acuerdo con las especificaciones técnicas que han sido aportadas al procedimiento
como Documento 1.2 del escrito de 16 de noviembre de 2023, el funcionamiento de
***APLICACIÓN.1 -en cualquiera de sus diferentes modalidades- incluye las
siguientes 3 acciones(fases):

a. Aceptación de los términos y condiciones - Durante la fase de registro
el alumno lee y acepta los términos y condiciones que regulan el uso del
sistema ***APLICACIÓN.1.
b. Registro de identidad - El sistema captura la imagen del alumno por
primera vez y formaliza su alta en el sistema con la correspondiente
instalación del software y los periféricos. Este proceso necesita la
colaboración del alumno en la fase contractual.
c. Monitorización de actividades durante el examen - El estudiante es
monitorizado y autenticado de forma continua durante las diferentes
actividades del examen(…)”

No obstante, se ha constatado que la UIV ha contratado diversas versiones o
modalidades de ***APLICACIÓN.1 desde el 27 de mayo de 2015 hasta la actualidad,
con el objeto principal de ampliar las herramientas de la fase de monitorización de
actividades durante el examen.

De acuerdo con las manifestaciones de la propia Universidad, el informe del fabricante
que desarrolló el programa ***EMPRESA.2 de 30 de enero de 2025, los diversos
documentos contractuales suscritos con ***EMPRESA.2, y las facturas aportadas
como Documentos 2 a 4 del mismo escrito de 20 de diciembre de 2023, consta
acreditado que la UIV ha contratado e implantado diversas modalidades del citado
programa de reconocimiento facial y monitorización de exámenes:

o En el año 2015 la Universidad contrató con ***EMPRESA.2 una primera
versión del programa ***APLICACIÓN.1 que empleaba reconocimiento facial para
la identificación de los alumnos que participaban en los exámenes de la UIV, que
pasó a denominarse como ***APLICACIÓN.4 a partir del contrato de 18-3-20, y
que continua en vigor y aplicándose en la actualidad, según consta en la última
adenda contractual 19-12-22.

De acuerdo con el Anexo I del Contrato suscrito el 27 de mayo de 2015, esta
versión inicial del software contratado ya utilizaba un sistema de reconocimiento
facial como medio de verificación de identidad de los alumnos que participan en
los exámenes online y monitorizaba su actividad a través de la cámara web, a
través de una monitorización del escritorio, y la grabación de imágenes y audio,
durante la realización de sus exámenes online, que se analizan de forma
automatizada mediante técnicas de inteligencia artificial, y eran supervisadas
posteriormente por un profesor.
Hasta la firma de la extensión contractual de 18-3-20, la Universidad tenía
contratada la versión inicial de ***APLICACIÓN.1, que pasó a denominarse
posteriormente ***APLICACIÓN.4, en la que la fase de monitorización de
actividades durante el examen, se realizaba de acuerdo con las siguientes
herramientas, que constan señaladas en dicho Documento 1.2, y coinciden con
las indicadas en el Manual de formación sobre ***APLICACIÓN.4, aportado como
Documento 3.6:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/225

-Monitorización a través de la webcam del equipo: el sistema captura
imágenes de forma periódica con la webcam del usuario que se analizan
con algoritmos de IA, es importante destacar que el análisis se realiza sin
almacenar ningún tipo de dato biométrico del usuario, además las
comparaciones se realizan siempre de 1 a 1 y no de 1 a varios,
resultando un tratamiento muy poco intrusivo.
-Monitorización de escritorio: el sistema monitoriza las acciones
(programas abiertos, navegación web…) que realiza el alumno durante la
actividad online, este sistema garantiza que en ningún momento se
accede a información privada del usuario. El estudiante es consciente de
la monitorización.
-Grabación de audio: es uno de los complementos que ofrece el software
y se basa en un umbral de sonido que, si se supera, comenzará la
grabación de audio. Las grabaciones se ponen a disposición de la
institución.”

o Con fecha de 31-5-2019 se emite informe favorable de la ANECA a la
propuesta de modificación del plan de estudios presentado por la UIV en relación
con el Máster Universitario en Nutrición y Salud, que se acompaña como
DOCUMENTO 3.4 (Pág. 337 expediente), en el que tras haberse realizado
alegaciones por la UIV sobre la mejora del control del entorno en el examen online,
proponiendo incluir un sistema de monitorización del entorno mediante doble
cámara, la ANECA considera que: “Dicho sistema no permite asegurar
completamente que el estudiante no recibe ningún tipo de ayuda externa durante
la realización de la misma. Se recomienda subsanar esta cuestión. Esta
recomendación es de obligado cumplimiento y dicho cumplimiento será revisado
especialmente en las fases de seguimiento y acreditación del título.”

o Consta que la Universidad -pretendiendo cumplir con las recomendaciones
de la ANECA para asegurar que no se cometía fraude en los exámenes- modificó
su Plan de Estudios para incluir el control de entorno a través de doble cámara, y
con fecha de 18-3-20 amplió el contrato de servicios y encargo del tratamiento para
incluir una nueva herramienta de monitorización del entorno a través de doble
cámara, contratando para ello una nueva modalidad de este programa
denominada inicialmente ***APLICACIÓN.8, que pasó a denominarse
***APLICACIÓN.2 a partir de la firma del contrato de 14-6-21, y que sigue estando
vigente en la actualidad con dicho nombre tras la firma de la adenda de 19-12-22.
Denominaciones contractuales que se corresponden con la versión del Plan
***APLICACIÓN.7 del programa que el fabricante desarrolló a partir de 2018,
según manifiesta la misma en su informe de 30 de enero de 2025.

De acuerdo con lo señalado por la UIV en su escrito de 20 de diciembre de 2023,y
las extensiones y adendas del contrato aportados el 6-2-25, la diferencia existente
entre la modalidad inicial (***APLICACIÓN.1, o ***APLICACIÓN.4) y la nueva
modalidad contratada a partir de 18-3-20 ( que recibió diversas denominaciones
como ***APLICACIÓN.8, y ***APLICACIÓN.2) se ceñía a añadir una herramienta
más de control en la fase de monitorización del alumno que se correspondía con
el nuevo sistema de monitorización del entorno a través de la instalación de una

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/225

doble cámara, que de acuerdo con el Documento 3.7 antes mencionado, consistía
en lo siguiente:

“-Monitorización del entorno a través de una segunda cámara: mediante el uso de
teléfono móvil como cámara externa, el software es capaz de monitorizar el
entorno del estudiante, aportando un mejor ángulo de visibilidad, siendo capaz de
detectar la presencia de otras personas o el uso de elementos no permitidos por
parte del estudiante. El análisis de estas imágenes se realiza por medio de
algoritmos de IA sin aplicar análisis biométrico”.

o Por último, de acuerdo con la cláusula segunda de la última adenda
contractual firmada el 19-12-22:, la oferta de ***EMPRESA.2 contempla en la
actualidad 3 modalidades de servicios, habiendo señalado la UIV en su segundo
escrito de respuesta al requerimiento de investigación que ha contratado las dos
primeras modalidades y abonado las facturas correspondientes a los exámenes
del primer semestre de 2023 conforme a los precios pactados en dicha adenda-Se
hace constar que las modalidades son las siguientes:

o ***APLICACIÓN.4..
o ***APLICACIÓN.2
o ***APLICACIÓN.3.

Consta, pues, acreditado que desde el 18-3-20 hasta la actualidad la UIV ha venido
contratando ambas modalidades ***APLICACIÓN.4 y ***APLICACIÓN.2 (si bien con
distintas denominaciones), y que a la versión conjunta de ambas modalidades
contratadas el 19-12-22 se la denomina en los Manuales de Formación y
documentación informativa publicada en la web como “***APLICACIÓN.5,” y se
corresponden con lo que el fabricante desarrollador del programa ofrece como Plan
***APLICACIÓN.7, según se hace constar por el mismo en su informe de 30 de
enero de 2025. Así pues, la UIV en su escrito de 6-2-25, tras la emisión de dicho
informe de ***EMPRESA.2 señala que: “ii. Que las referencias a las versiones
“***APLICACIÓN.2” o “***APLICACIÓN.5” deben entenderse referidas a la versión
***APLICACIÓN.7, que incorpora la supervisión del entorno del usuario”.

SEGUNDO: En relación con los hechos que constan en la denuncia a la que se refiere
el presente procedimiento, consta acreditado en el mismo día de firma de la última
adenda contractual con el fabricante de ***APLICACIÓN.1 (19-12-22), la Universidad
informó a los alumnos mediante correo electrónico de que esta la monitorización del
entorno a través del doble sistema de cámara iba a ser de aplicación obligatoria para
los exámenes realizados a partir de 16-1-23, y que debían descargarse los programas
necesarios que constan en el documento 3.4 de la denuncia. Ante la queja de los
alumnos, consta acreditado que la UIV contestó a los mismos que se había tomado
esta decisión por el consejo de gobierno de la UIV de 3-5-22.

Las facturas aportadas en el segundo escrito de respuesta (Documentos 2 a 4)
confirman que dichos exámenes de 2023 fueron celebrados utilizando la versión del
programa ***APLICACIÓN.1 que empleaba reconocimiento facial y monitorizaba el
entorno, puesto que consta en las mismas que se ha abonado el 9-8-23 a la
prestadora del servicio y encargada del tratamiento la parte correspondiente a los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/225

exámenes realizados utilizando las modalidades ***APLICACIÓN.4 y a
***APLICACIÓN.2.

TERCERO: También consta acreditado que la UIV tuvo la opción de contratar la
modalidad de ***APLICACIÓN.3 desde la firma de la adenda modificativa de 14-6-21,
que permitía la supervisión humana sin utilizar la biométrica, pero que ésta fue
descartada por la UIV -sin analizarla en su EIPD de 2020, ni en sus actualizaciones
posteriores de 2023 y 2024- por los siguientes motivos que son expresados en su
escrito de 20 de diciembre de 2023:

“El servicio de Revisión humana sin análisis biométrico nunca se ha contratado
porque consiste en un único proceso de verificación humana de la identidad del
alumno al inicio del curso y antes de empezar un examen, pero este servicio no
incluye la autenticación continua durante el examen y carece de la eficacia
necesaria en la prevención de la suplantación de identidad en los exámenes
online.
El servicio de ***APLICACIÓN.3 consiste en que los alumnos no pasan por el
control
biométrico, sino que conectan con un agente de ***APLICACIÓN.1, le enseñan su
cara a través de la webcam y el agente de ***APLICACIÓN.1 simplemente marca
a ese alumno como “checkeado” antes de iniciar el examen.
Se trata por lo tanto de un proceso de identificación humana analógica que no es
una alternativa válida al control biométrico y que no habría tenido la misma
consideración por la Agencia Estatal ANECA para otorgar la oficialidad de un
título”.

CUARTO: Respecto al funcionamiento del programa ***APLICACIÓN.1, queda
acreditado que éste emplea un sistema de reconocimiento facial con la finalidad de
verificar la identidad de los alumnos que participan en los exámenes de la universidad,
que de acuerdo con la información que se ofrece actualmente en la web de la UIV a
los alumnos -según consta acreditado mediante el Anexo I de la Memoria de
Verificación de Máster sobre “Control de identidad y plagio”, aportada como
Documento 3.2 del escrito de 16 de noviembre de 2023-, consta de dos fases (el
subrayado es nuestro):

Fase 1: Proceso Onboarding:

El aseguramiento de la identidad y para dar cumplimiento a la garantía de que
el sujeto que se matricula es el que efectivamente accede al campus y se
evalúa” se observa que está relacionado con el proceso de “onboarding”, esto
es, el primer acceso al campus virtual. (…).

Una vez finalizado este proceso y firmado el documento, la Universidad recoge
la traza técnica del proceso y genera el certificado acreditativo de la video-
identificación y firma del documento. (…). El proveedor de esta solución es la
empresa ***EMPRESA.2.

Fase 2: Acreditar la autoría del proceso de evaluación continua y tutela de
exámenes online:

(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/225

De esta forma a través de este proceso, se audita y vigila a tres niveles:

(…)

Por otra parte, queda acreditado que, como señala el informe de ***EMPRESA.2 de 30
de enero de 2025: (…).

Señala el informe de ***EMPRESA.2: “Por ello, queremos dejar claro que la
utilización de datos biométricos no se ve afectada en ningún momento por la
elección de un plan u otro. (…)”.

Pese a no acompañarse sustrato documental de esta afirmación, se tiene por
acreditada la misma, dado que coincide con lo descrito en el Documento 1.2 y
las EIPDs aportadas, que al describir las 4 herramientas de monitorización del
programa ***APLICACIÓN.1 hacen referencia a que el proceso de verificación
de identidad del alumno a través de las comparaciones 1:1 y fotografías
tomadas se realiza únicamente dentro de la herramienta de “Monitorización a
través de la webcam del equipo”.

QUINTO: La UIV ha aportado una EIPD del tratamiento fechada en septiembre de
2020 y dos actualizaciones de la EIPD fechadas de julio de 2023 (como Documento 5
del escrito de 16 de noviembre de 2023), y en enero de 2024 (Documento 1 sobre
“Informe de ponderación del interés legítimo” que se aporta con el escrito de
alegaciones al acuerdo de inicio).

Ninguna de estas EIPD aparece firmada ni se indica el nombre del responsable de su
aprobación, y sus apartados no aparecen en el orden y con el nombre que se señala
en el índice, por lo que no consta acreditado en qué fechas concretas se han
realizado, ni que estas fueran firmadas por el responsable del tratamiento.

El contenido esencial de la EIPD y sus actualizaciones que consta en dichos
documentos es el siguiente:

5.1. La primera EIPD de septiembre de 2020, ha sido aportada primero de los
documentos incluidos en el Documento 5, denominado ““Reconocimiento facial
y control del escritorio y del entorno en exámenes online. Septiembre de
2020”:” (Pag.552 exp). Su contenido esencial es el siguiente:

-El índice señala que la EIPD consta de 30 apartados, siendo el último de éstos
el “anexo de actualización de la evaluación”. No obstante, los apartados no
aparecen en el orden señalado, la EIPD no está paginada, no existe un anexo
de actualización, y se incluyen otros documentos como las “evidencias” que no
constan en el índice y se desconoce en qué fecha se han realizado.
- El nombre y descripción del tratamiento es: “Reconocimiento facial y control
del escritorio y del entorno en exámenes online”.
- Aparecen como finalidades del tratamiento: 1. Verificar que el estudiante que
se presenta al examen es quien dice ser. Evitar suplantaciones de identidad, y
3. Evitar el fraude o la copia en los exámenes.
-En la descripción sistemática de las operaciones de tratamiento señalándose
los datos objeto de tratamiento en cada una y el encargado del mismo:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/225

a) En las acciones subencargadas a ***EMPRESA.2, referidas al registro del
alumno en el campus virtual, no se tratan datos biométricos sino los datos
personales (rostro facial) de los alumnos, puesto que se señala que “(…)”.
b) Pero en las acciones subencargadas a ***APLICACIÓN.1, se señala que se
trata el patrón facial del alumno y se indica que se realiza lo siguiente: (i)
***APLICACIÓN.1 (Registro Plataforma): se indica que el patrón facial es el
dato tratado, y que “(…)”; (ii) y ***APLICACIÓN.1 (Realización de un examen)
consta que se tratan el patrón facial y las expresiones faciales de la forma
siguiente: “(…)”
- Pese a que en la descripción sistemática de operaciones de tratamiento no se
hace referencia al control del escritorio ni del entorno, si se dedica un apartado
al “control del escrito y entorno” (pág.616), lo que corrobora el hecho de que en
septiembre de 2020 la UIV ya empleaba la monitorización del entorno
correspondiente al Plan ***APLICACIÓN.7 y modalidades contractuales
***APLICACIÓN.2 y ***APLICACIÓN.5.
-En el apartado 11 señala que no se tratan datos de categoría especial. Y al
analizar las bases jurídicas señala que: “El consentimiento explícito del
interesado es la primera base jurídica que se presenta al hablar de categorías
especiales de datos. A pesar de que los datos biométricos no se consideran
categorías especiales de datos, la VIU viene solicitando el consentimiento de la
persona que desea ser alumno de la universidad desde 2018, mediante la
aceptación de las condiciones generales antes de formalizar la matrícula”.

-Posteriormente, la EIPD analiza 4 Bases Jurídicas aplicables a este
tratamiento: consentimiento del interesado, ejecución del contrato, interés
legítimo e interés público.

- Se contiene un análisis de los riesgos inherentes al tratamiento tanto para los
derechos y libertades de los afectados como para la seguridad de los datos
personales tratados, concluyendo con la existencia de riesgos de probabilidad
ALTA e impacto MUY ALTO, aportándose un plan de acción que incorpora los
siguientes controles y medidas preventivas. Se realiza análisis del riesgo
residual concluyéndose valor ACEPTABLE.

- Se realiza una evaluación de necesidad y proporcionalidad del tratamiento
dispersa, a través de diversos apartados, sin hacer referencia expresa a la
evaluación de idoneidad del tratamiento. Dentro de la cual, se incluye un
análisis de los medios alternativos al uso de tecnologías de reconocimiento
facial para evaluar a los alumnos, en el que se mencionan los medios
alternativos que fueron analizados por la AEPD en el informe 0036/2020 del
Gabinete Jurídico de esta Agencia, en relación con la consulta formulada por
una Universidad de educación a distancia en la que se planteó la utilización de
un programa de ***PROGRAMA.1 que utilizaba reconocimiento facial en sus
exámenes online en un supuesto muy similar al presente:

5.2. La EIPD de 2020 fue actualizada en julio de 2023, cuyo documento se aporta
también con el Documento 5 y con el nombre de “Reconocimiento facial y
control del escritorio y del entorno en exámenes online. (...). Septiembre de
2020 - Actualizada en julio de 2023 fechada en julio de 2023” (Pag. 693 exp).
Respecto a la que cabe destacar lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/225

o Su índice se compone de 30 apartados (Pag. 693 a 839), y dos anexos en los
apartados 31. II - actualización de la evaluación (Pág.840), y el del apartado
32. Anexo II – actualización de la evaluación (evidencias) en la (Pág.842) Exp.

o En los primeros 30 apartados, la UIV hace las siguientes modificaciones
esenciales respecto a la anterior de 2020:

o La descripción del tratamiento, pese a que hace referencia en la fecha
de evaluación “septiembre de 2020” no coincide con la que se realizó
en dicha fecha, puesto que el nombre del tratamiento es
“Reconocimiento facial del usuario y prevención del fraude en
exámenes online”, y las finalidades del tratamiento son ahora 5: 1.
Verificar que el estudiante que se presenta al examen es quien dice ser,
2. Evitar suplantaciones de identidad, 3. Evitar el fraude o la copia en
los exámenes, 4. Garantizar la calidad e integridad académica, 5. Dar
cumplimiento a los requisitos de las entidades certificadoras (ANECA).
o Se añaden las 3 acciones de monitorización encargadas a
***EMPRESA.2 que no habían sido incluidas en la descripción
sistemática de operaciones de tratamiento EIPD de 2020: se precisa
que en las operaciones de monitorización a través de web cam se trata
el patrón facial, en la el ID de usuario en la monitorización a través de
escritorio, y en la monitorización del entorno segunda cámara se trata
solamente la imagen.
o Se incluye un nuevo apartado sobre el tratamiento relativo a la
“Monitorización de la actividad del alumno”, que responde a la finalidad
de prevención de fraude.
o Se mantienen las 4 bases jurídicas del tratamiento anteriores. Pero se
añade en la base del interés legítimo una “tabla de ponderación del
interés legítimo”, y se incluye un análisis de sensibilidad de los datos
biométricos del tratamiento, y diversos apartados dedicados a la
diferenciación entre autenticación-identificación en los que la
universidad referencia los informes jurídicos de esta Agencia
0036/2020, 0047/2021 y las Directrices 05/2022 del CEPD para llegar a
la conclusión de que su programa no trata datos de categoría especial
porque se basa en un proceso de autenticación que realiza
comparaciones 1:1.(Pag.739 exp).

o En los anexos de actualización se añaden las evidencias de la información pre-
contractual prestada como base jurídica del consentimiento prestado por el
alumno, a las que se hace referencia en el Hecho Probado Décimo, y de la
adopción de algunas medidas de seguridad del tratamiento.

5.1. Por último, consta que se ha realizado una última actualización de la EIPD en
enero de 2024, al objeto de incluir el Informe de Ponderación del interés
legítimo, que se acompaña como Documento 1 del escrito de alegaciones al
acuerdo de inicio- (Pág. 1081 exp), de 18 páginas, en las que se hace
referencia a las siguientes fases del “procedimiento de ponderación”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/225

Primera fase. - Identificación del interés legítimo y valoración del cumplimiento
de los requisitos establecidos en el RGPD y en la normativa local.
Segunda fase. - Evaluación de la idoneidad del tratamiento.
Tercera fase. - Evaluación de la necesidad del tratamiento.
Cuarta fase. - Evaluación del equilibrio entre el interés legítimo del responsable
del tratamiento y los derechos y libertades fundamentales de los interesados.
Una vez realizada esta evaluación, se realizará la ponderación y se tomará la
decisión final, en la que se concluirá si el tratamiento puede o no ser realizado
tomando como base jurídica el interés legítimo de la empresa.

SEXTO. Queda acreditado que la UIV adoptó las siguientes medidas técnicas dirigidas
a garantizar un nivel de seguridad adecuado a los riesgos del tratamiento realizado,
que se incluyen en todas las versiones de su programa ***APLICACIÓN.1, según
manifiesta la desarrolladora del programa en su informe de 30 de enero de 2025:

6.1. En primer lugar, se tienen por acreditadas las medidas a las que hace referencia
el documento de especificaciones técnicas de ***APLICACIÓN.1 aportado en el
Documento 1 (cuya autoría y fecha se desconoce, puesto que no consta fecha ni pie
de firma), que fueron incluidas en la EIPD de 2020 y sus actualizaciones:

-Se siguen todas las recomendaciones y buenas prácticas en desarrollo de
código y revisión de vulnerabilidades web como las de (...) entre otras. Se
dispone de Certificación ***CERTIFICACIÓN.1.

- Se hacen auditorías externas anuales. Habiendo presentado la última
realizada durante el año 2024.

-Almacenamiento de datos anonimizado: ***EMPRESA.2 nunca conoce la
identidad de los usuarios que está supervisando, ***APLICACIÓN.1 no maneja
identidades y todos los datos que llegan se relacionan a un código
alfanumérico. La relación entre códigos y la identidad de las personas reside en
los servidores del responsable de tratamiento.

-El procesamiento biométrico que se realiza es de autenticación
(comparaciones 1.1) y no identificación (comparaciones 1.N).

- El procesamiento ha sido diseñado para garantizar que los datos biométricos
no se almacenan. Siendo el procedimiento de captura y análisis de imágenes
el que describe el informe del fabricante de 30 de enero de 2025:

1. Registro de identidad del usuario: Antes de ser monitorizado,
cada alumno: debe completar un proceso de registro. Durante este
paso, el sistema captura la imagen de su rostro, que servirá
posteriormente para la autenticación de identidad.
2. Monitorización de actividades: Una vez iniciado el proceso de
supervisión, el sistema captura imágenes del usuario a través de la
webcam de manera periódica.
a. Cada imagen recibida se compara con la foto registrada
previamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/225

b. Para realizar la comparación, se extraen datos biométricos de
ambas imágenes (registro + imagen capturada) y se analizan.
c. Estos datos no se almacenan en ningún momento, solo se
guarda el resultado de la comparación.
d. Este procedimiento se repite para cada imagen obtenida
durante la supervisión.

- Los aspectos que monitoriza la herramienta mientras el alumno está
realizando su examen son según la EIPD:
-***APLICACIÓN.1 no graba video, (…).

6.2. Y por otra parte, de acuerdo con lo señalado en el Informe de Actuaciones Previas
de Investigación del presente procedimiento, de acuerdo con los Documentos 6.1 a
6.8, existen evidencias de haber adoptado las siguientes medidas de seguridad:

o Certificación ***CERTIFICACIÓN.1 de ***EMPRESA.2 con fecha de
certificación inicial 28 de julio de 2023.
o Buenas prácticas de seguridad definidas por AWS.
o Medidas de seguridad de la infraestructura AWS (…)
o Medidas de seguridad del sistema ***APLICACIÓN.1 a nivel de usuario.
Certificado de ***EMPRESA.2 firmado en fecha 3 de julio de 2023 en el que
confirma que no realiza perfilado de usuarios y que la monitorización de la
segunda cámara no hace uso de datos biométricos.
La Política de Seguridad de la Información del ***EMPRESA.3.
Normas de uso de sistemas de información de ***EMPRESA.3.

SÉPTIMO: Se ha reconocido por la UIV que todas las modalidades del programa
***APLICACIÓN.1 que fueron puestas en funcionamiento por la misma tratan datos
biométricos personales (patrón facial), puesto que así se deduce de la siguiente
documentación:

o El RAT aportado al procedimiento como Documento 2, indica que se tratan las
siguientes categorías de datos tratados: “datos de identificación, imagen del
alumno, datos biométricos-patrón facial, comportamiento durante el examen, y
contenido de la evaluación”.

o Ello se confirma por la EIPD elaborada en 2020 y su actualización de 2023, en
cuya descripción sistemática de operaciones de tratamiento se observa que la
UIV identifica el concepto de “datos biométricos” con la imagen o fotografía del
rostro del alumno que se capturan en la fase de registro del alumno en el
campus virtual, y lo distingue del concepto de “patrón facial”, que se trata por la
sub-encargada de tratamiento ***APLICACIÓN.1 durante la fase de “registro
plataforma” y “realización de un examen”, y por la encargada del tratamiento
***EMPRESA.2 durante la fase de ***APLICACIÓN.1 “monitorización a través
de la webcam” según se ha hecho constar en el Hecho Probado Quinto.
OCTAVO: De los Hechos Probados Primero a Séptimo se deduce que también ha
quedado constatado que el software ***APLICACIÓN.1 utilizado por la UIV, en todas
las modalidades contratadas desde su implantación hasta la actualidad, emplea un
sistema de reconocimiento facial para realizar una autenticación continua de la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/225

identidad de los alumnos que participan en sus exámenes online, que cumple con las
siguientes características:

8.1. Toma muestras de las características físicas, fisiológicas o conductuales de los
alumnos que se registran en el sistema (las imágenes selfie proporcionadas por el
alumno y las que son capturadas por el sistema de monitorización implantado), y las
procesa técnicamente para generar una plantilla o patrón biométrico (código
alfanumérico) obtenido de los mismos.

8.2. En segundo lugar, consta acreditado que el software utilizado por la UIV realiza un
procesamiento técnico de los datos biométricos (imágenes de la cara del alumno), y
genera una plantilla biométrica (patrón facial) de la cara los alumnos que se emplea
para realizar verificaciones de identidad del alumno cada dos segundos durante el
examen. La generación y utilización del patrón biométrico para realizar el proceso de
autenticación de la identidad de los alumnos comienza con el examen y se repite cada
dos segundos durante toda la realización del mismo, conservándose durante el tiempo
necesario para realizar la comprobación 1-1 del alumno, sin almacenarse en el
sistema.

Ello se deduce de las siguientes evidencias aportadas por la UIV:

(i) En primer lugar, de las referencias continuas a la generación de un
patrón biométrico facial que se realizan a lo largo de la documentación, bajo la
denominación de “algoritmo de reconocimiento facial” o “código alfanumérico”
en el Documento 1.2, 6.1 y 6.2 sobre información técnica del programa
***APLICACIÓN.1, o como “modelo matemático personal”.

(ii) En segundo lugar, de las referencias realizadas al patrón facial y la
comparación del patrón inicial del alumno con el generado durante el examen
que se contienen en el Documento 3.2, que se aporta como Ejemplo de
Memoria de Verificación de Máster, y en las EIPD aportadas como Documento
5.

(iii) En tercer lugar, de las afirmaciones realizadas por el informe de peritaje
de 23 de julio de 2024 emitido por A.A.A. de la consultoría informática
***EMPRESA.3 con fecha de 23 de julio de 2023, que tras realizar las
comprobaciones y verificaciones oportunas, señala que:

o “(…)”

(ii) Esto mismo se manifiesta por la entidad suministradora del programa
***APLICACIÓN.1 y encargada del tratamiento ***EMPRESA.2 en el informe
elaborado el 30 de enero de 2025 al objeto de contestar al requerimiento
realizado durante la fase de prueba, en cuyo apartado tercero se hace
referencia al procedimiento de captura y análisis de imágenes al que se ha
hecho referencia en el hecho probado sexto, relativo a las medidas de
seguridad del tratamiento.

8.3. Y por último, no cabe duda de que la finalidad del sistema es y siempre ha sido la
identificación unívoca del alumno (confirmar la identificación única del alumno) que se
presenta y participa en el examen durante toda la duración del mismo, cuya actuación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/225

se monitoriza mediante un sistema de videovigilancia que combina técnicas de
reconocimiento facial, inteligencia artificial y mecanismos de decisión automatizada
con la finalidad de evitar el fraude o plagio.

Lo que queda acreditado en las finalidades descritas por la EIPD, así como en el
propio proceso de en el Anexo I de la Memoria de Verificación de Master publicada en
la web de la Universidad y aportada como Documento 3.2 al procedimiento, que al
regular el “Control de Identidad y Plagio”, establece que durante la Fase 2
(denominada “enrollement”) se hace constar que para acreditar la autoría del proceso
de evaluación continua y tutela de exámenes online, la tecnología ***APLICACIÓN.1
“Utiliza un algoritmo de reconocimiento facial automático para verificar la identidad del
usuario y detectar comportamientos incorrectos a través de todo el proceso de
desempeño de la prueba de contenido (examen)”

NOVENO: Queda constatado, según señala el Informe de Actuaciones Previas y
consta en los Documentos 3.1 a 3.11 del escrito de 16 de noviembre de 2023, que la
UIV proporciona información específica a sus alumnos sobre el tratamiento de datos
biométricos que realiza ***APLICACIÓN.1 a través de varios documentos facilitados al
estudiante en diversas fases previa, contractual, y post-contractual.

o En momentos previos al proceso de matriculación (fase precontractual),
pues ha quedado acreditado que la UIV advierte de este método de evaluación en
diversos documentos que están publicados abiertamente en la web de la
universidad, según hace constar el Informe de Inspección.

En concreto, consta información al respecto del tratamiento de datos personales
biométricos en los links sobre funcionamiento de campus virtual y preguntas
frecuentes, y en los documentos 3.1 a 3.5, y 3.11, correspondientes a las
Condiciones de Matriculación, Ejemplo de Memoria de Master, Ejemplo de Plan de
Estudios, Informe ANECA, Normas de Evaluación 2019 a 2022, y Ejemplo de
catálogo de master.

De entre estos, cabe destacar la Normativa de Evaluación, publicada en la web,
donde se observa que Normativa de Evaluación de 25-2-2019, y 10-10-2020,
afirma en su capítulo IV, art 11 y siguientes que los exámenes online se realizarán
de forma obligatoria a través de “un sistema de tecnología de reconocimiento
facial que permite controlar su efectiva participación en los exámenes y pruebas
realizados”. Y la Normativa de Evaluación aprobada el 3-5-21 y el 21-10-22,
realizan en el artículo 2 la misma afirmación. Regulándose en el Capítulo IV.-
Pruebas de evaluación online. Artículo 11, las Instrucciones técnicas (Pag 377
EXP).

A su vez, consta que la Normativa de Evaluación de 21-10-22 incluye un Anexo I
sobre causas de invalidación de la prueba de evaluación online en el que destaca
el siguiente párrafo (página 409 EXP), por ser el único que hace mención al
sistema ***APLICACIÓN.1 de vigilancia del entorno con sistema de doble cámara
que había sido contratado a través de la adenda de 19 de diciembre de 2022
antes mencionada:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/225

“14. En las titulaciones en las que, por sus necesidades, se aplique la herramienta
***APLICACIÓN.1 con la tipología ***APLICACIÓN.5 (informe de imágenes,
Informe de Control de Monitor e Informe de cámara externa), y así venga recogido
en sus memorias de verificación, se aplicarán todos los apartados anteriores, y se
sumará la monitorización externa, debiéndose cumplir lo exigido en los apartados
2 y 3 respecto de la cámara externa.

o Queda también acreditado que se ofrece información detallada al respecto en
el momento de formalizar la matrícula: Documento de Condiciones Generales
de Matrícula 3.1, que está a disposición antes y durante el proceso de
matrícula, constituyendo su aceptación el consentimiento al tratamiento.

o Y posteriormente a esta formalización (fase post-contractual), amplía dicha
información, entregando tras la formalización de la matrícula los Manuales,
Guías y Protocolos de formación del programa ***APLICACIÓN.1 que se
aportan como Documentos 3.6 a 3.9 del primer escrito de respuesta, y como
Documento 3 del escrito de 6-2-25 respondiendo a la prueba

DÉCIMO: Ha quedado constatado que la UIV ha venido recabando entre 2019 y 2022
el consentimiento explícito, informado e inequívoco del usuario manifestado tanto a
través de la aceptación de las Condiciones Generales, en el momento de formalizar la
matrícula (fase que la UIV denomina como contractual), como también en el momento
de registrarse en ***APLICACIÓN.1 al aceptar la política de privacidad y de uso de
este software; y descargarse el programa (fase que la UIV denomina post-contractual).

Ello se acredita mediante la aportación de los siguientes documentos en el escrito de
16 de noviembre de 2023:

a) “Consentimiento contractual: en que el alumno consiente expresamente
al formalizar la matrícula y aceptar las condiciones generales. Lo que
denomina como Contrato de Enseñanza.”

Lo que se acredita mediante el Documento 3.1, sobre Condiciones de
Matriculación vigentes entre 2019 y septiembre-octubre de 2022, considerados
como el “Contrato de Enseñanza”. Donde el artículo 9 señala que la UIV utiliza
técnicas de reconocimiento facial para controlar la efectiva participación de los
alumnos en los exámenes y pruebas realizadas por el centro.

a) Consentimiento post-contractual: que se realiza durante el proceso de
registro del alumno en el programa ***APLICACIÓN.1 al aceptar la política de
privacidad, y descargarse el programa.

Lo que se acredita mediante los Manuales de Formación del programa
***APLICACIÓN.4 y ***APLICACIÓN.5 aportados como Documento 3.6 y 3.7,
así como la Guía de Instalación de ***HERRAMIENTA.1.

Ambos Manuales de Formación describen el funcionamiento del programa
***APLICACIÓN.1, se corresponden con una versión de agosto de 2023, y
describen al completo el sistema de reconocimiento facial y monitorización,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/225

incluida la doble cámara. No se aportan los Manuales de Formación
entregados a los alumnos en los años 2019 a 2022.

De acuerdo con la evidencia 4 aportada en la denuncia, consta que se remitió a
los alumnos, junto con el correo electrónico de 19-12-22 que les instaba a
descargarse el programa ***APLICACIÓN.5 el Manual que se aporta como
Documento 3.7. Donde consta que es necesario aceptar esta política de
privacidad para poder descargar los programas y registrar sus datos
biométricos durante la fase de “enrollement”.

Se aporta como Documento 3.10 la Política de Privacidad de la UIV advertía
del tratamiento biométrico realizado en las evaluaciones.

No obstante, consta acreditado que el consentimiento prestado por el alumno en cada
una de esas fases no es libre, lo que se deduce de las siguientes evidencias:

(i) En primer lugar, la propia Universidad reconoce en su EIPD que “la normativa
relativa a la formación universitaria parece generar un desequilibrio claro entre
la posición de la universidad y la del estudiante, por lo que se podría
considerar que el consentimiento dado por el estudiante no sería libre”, tras
realizar un análisis de los Considerandos 92 y 93 (cuando no se goza de
verdadera libertad de elección, y cuando exista un desequilibrio claro entre
interesado y responsable del tratamiento), y aunque posteriormente llegue a la
conclusión errónea de que no existe un desequilibrio entre Universidad y
estudiante porque éste tiene la posibilidad de optar por este método o dejar de
matricularse, o renunciar a ser evualuado en 4 momentos diferentes.

(i) De la documentación acreditativa de ambos consentimientos (contractual y
precontractual) se deduce que no existe libertad de elección del alumno:
puesto que consentir el tratamiento biométrico a través de reconocimiento
facial es condición obligatoria para poder matricularse, presentarse al examen
y ser evaluado, así como para superar el mismo, tal y como reconoce la UIV en
su escrito de 16 de noviembre de 2023.

En concreto, respecto al consentimiento contractual, queda acreditado
mediante el Documentos 3.1 sobre las condiciones generales de matriculación
vigentes entre 2019 y septiembre-octubre de 2022, que los alumnos debían
consentir la siguiente cláusula como requisito para poder matricularse:

“El alumno queda informado y consiente la utilización por parte de VIU de un
sistema de tecnología de reconocimiento facial que permitirá controlar su
efectiva participación en los exámenes y pruebas realizados por este centro
universitario. Dicho sistema será utilizado única y exclusivamente para esta
función de control y nunca para ninguna otra finalidad distinta.
El alumno reconoce que la posibilidad de realizar un curso totalmente
online, sin desplazamientos ni pruebas presenciales, constituye un elemento
esencial para la contratación de VIU, ya que, los beneficios que le aporta
esta modalidad de exámenes y pruebas compensan los controles
preventivos reforzados que exigen las pruebas de evaluación online y el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/225

tratamiento de los datos relativos a su patrón facial y al control de elementos
periféricos.
El alumno confirma que ha escogido esta universidad porque estos sistemas
de control le ofrecen garantías suficientes de que todos los alumnos tendrán
las mismas oportunidades de aprobar y que no se producirán déficits de
control que permitan a otros alumnos aprobar las asignaturas con un menor
esfuerzo”

Y lo mismo respecto al consentimiento post-contractual, en el que es obligatorio
aceptar la política de privacidad aportada como Documento 3.10 para darse de
alta del programa ***APLICACIÓN.1, y descargarse los aplicativos y
herramientas necesarias para realizar el reconocimiento facial, según consta en
los Manuales de Formación aportados como Documento 3.6 y 3.7, que
contienen la información de funcionamiento del programa que se entrega a los
alumnos. .

(ii) Consta acreditado, además, que la UIV -pese a que conocía los criterios
expresados por esta Agencia en el Informe nº 0036/2020 – no ofrecía ninguna
alternativa equiparable (sea presencial u online) a los alumnos que no
quisieran consentir el uso de este software de reconocimiento facial, puesto
que no había arbitrado ninguna alternativa.

(iii) Porque consta acreditado también que la no prestación del consentimiento o
renuncia posterior a emplear el método de evaluación mediante el software
***APLICACIÓN.1 tenía consecuencias negativas para los interesados, que se
reconocen abiertamente por la UIV. En palabras de la Universidad, en su
alegación sexta, punto 4:

“Si el estudiante retira el consentimiento respecto de la aplicación
***APLICACIÓN.1 no se podrá verificar si es quien tiene suscrito el
contrato de enseñanza y no podrá realizar el examen. De la misma manera
que si un estudiante retira el consentimiento para el tratamiento de los
datos relativos a su examen no se podrá corregir su examen ni ser
evaluarlo. E, igualmente, si un estudiante retira el consentimiento para el
tratamiento de los datos relativos a la prueba de idiomas y de las restantes
pruebas del proceso de admisión, no podrá matricularse. En consecuencia,
el consentimiento del alumno es siempre imprescindible en todos los
aspectos de la matriculación, proceso de matriculación y obtener el título
(…)”

UNDÉCIMO: Además de lo señalado respecto a la excepción del consentimiento, no
se ha acreditado por la UIV que concurra ninguna de las excepciones previstas en el
artículo 9.2 del RGPD que permita levantar la prohibición general de tratamiento de
datos biométricos para la finalidad del tratamiento.

DUODÉCIMO: Consta acreditado que existen otros medios alternativos no biométricos
de verificación de la identidad de los alumnos aptos para cumplir con la finalidad del
tratamiento descrito por la UIV con eficacia y seguridad para los derechos y libertades
de los alumnos, y que la UIV conocía de su existencia, pero descartó su aplicación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/225

o En primer lugar, consta que de acuerdo con lo señalado en ambas EIPD, se
analizaron y descartaron otros posibles medios alternativos propuestos por
esta Agencia, que podrían ser empleados para realizar evaluaciones
100%online, de forma individual o combinada (Pag 767 del exp) :
(…)

o A continuación, la EIPD analiza y descarta otros medios alternativos
propuestos por la autoridad de control holandesa, que añade más posibilidades
que podrían ser utilizadas – de forma individual o combinada- para realizar
exámenes íntegramente online, como pretende la UIV.

(…)

o A su vez, tal y como se ha mencionado en el Hecho Probado Tercero consta
que la UIV tuvo en sus manos la oportunidad real de contratar una versión del
programa ***APLICACIÓN.3, que implicaba “revisión humana sin biometría”,
mediante la que era también posible realizar una evaluación online de sus
alumnos, y la descartó.

o Por último, el informe técnico aportado como dictamen pericial por la UIV,
elaborado con fecha de 23 de julio de 2024 por un experto de la entidad
***EMPRESA.3 de consultoría informática, realiza un “Análisis de Alternativas
Menos Intrusivas en el Punto 1.9 del documento de “informe pericial de
seguridad”, indicando lo siguiente:

“El uso de técnicas de verificación biométrica en tiempo real, combinadas con
la supervisión humana al final del examen, es la mejor alternativa disponible
para garantizar la autenticidad de los alumnos en los exámenes online de la
VIU (Universidad Internacional de Valencia - ***EMPRESA.3) y cumple con
los requisitos de seguridad y privacidad establecidos por la AEPD y VIU.
Se evaluaron posibles alternativas menos intrusivas para el proceso de
verificación de identidad de los alumnos durante los exámenes. Verificación
manual de la identidad de los alumnos: Menos eficiente e inviable para un
gran número de alumnos en una modalidad de examen online. Utilización de
códigos de acceso: Menos segura y menos eficiente. Verificación de identidad
mediante documentos de identidad: Menos eficiente y más intrusiva (requiere
de vinculación con datos personales). Verificación mediante preguntas de
seguridad: Menos segura y menos eficiente.
Alternativas como la verificación manual de la identidad de los alumnos, la
utilización de códigos de acceso o la verificación mediante preguntas de
seguridad no ofrecen el mismo nivel de seguridad y autenticidad en la
verificación de la identidad de los alumnos, y pueden ser más intrusivas y/o
menos eficientes en un entorno de exámenes online con un gran número de
alumnos.
Por tanto, se concluye que la herramienta ***APLICACIÓN.1 es la mejor
alternativa disponible para garantizar la autenticidad de los alumnos en los
exámenes online de la VIU (Universidad Internacional de Valencia -
***EMPRESA.3) y cumple con los requisitos de seguridad y privacidad
establecidos por la AEPD y VIU.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/225

DECIMO TERCERO: Respecto al requisito de proporcionalidad del tratamiento, consta
la UIV ha realizado diferentes juicios de ponderación de “interés legítimo” donde lista
beneficios y perjuicios derivados del empleo de sistemas biométricos de
reconocimiento facial..

o En primer lugar, consta acreditado que la EIPD de 2020 y su actualización de
2023 incluyeron la siguiente “tabla de ponderación del interés
legítimo”·( Página 593 exp).

(…)

o Posteriormente, se actualiza la EIPD para incluir en enero de 2024 un “Informe
de Ponderación del interés legítimo” aportado como Documento 1 del escrito
de alegaciones al acuerdo de inicio, de 18 páginas, señalando que existen las
siguientes fases del “procedimiento de ponderación”:

Primera fase. - Identificación del interés legítimo y valoración del cumplimiento de los
requisitos establecidos en el RGPD y en la normativa local.
Segunda fase. - Evaluación de la idoneidad del tratamiento.
Tercera fase. - Evaluación de la necesidad del tratamiento.
Cuarta fase. - Evaluación del equilibrio entre el interés legítimo del responsable del
tratamiento y los derechos y libertades fundamentales de los interesados. Una vez
realizada esta evaluación, se realizará la ponderación y se tomará la decisión final, en
la que se concluirá si el tratamiento puede o no ser realizado tomando como base
jurídica el interés legítimo de la empresa.

En la página 15 de dicho documento se incluye la siguiente: “Tabla de
ponderación del interés legítimo”.

(…)

DÉCIMO CUARTO: En la política de privacidad aportada como Documento 3.10 del
escrito de 16 de noviembre de 2023 y el Anexo I de la adenda contractual aportada
como Documento 1 del escrito de 20 de diciembre de 2023, consta como responsable
del tratamiento realizado la UIV y como encargada del tratamiento la entidad
***EMPRESA.2.

DÉCIMO QUINTO: De acuerdo con la Diligencia expedida el 16 de diciembre de 2024,
consta acreditado que la (UIV) es una gran empresa constituida en el año 2013, con
un volumen de negocios de ***CANTIDAD.2 € para el ejercicio 2022.

DÉCIMO SEXTO: De acuerdo con la Diligencia expedida el 16 de diciembre de 2024
constan acreditados los siguientes datos de los alumnos que de acuerdo con el
Instituto Valenciano de Estadística de la Generalitat (en adelante, IVE) constan como
matriculados en los estudios de grado, máster y doctorado de la UIV entre los cursos
2019-2020 y 2023-2024, que se tienen en consideración para graduar el alcance de la
infracción y la sanción a imponer.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/225

A. De estudios de máster en la UIV: un total de 65.163 estudiantes.

B. De estudios de grado en la UIV: un total de 23.221 alumnos.

C. Estudiantes matriculados en programas de doctorado: únicamente 5 alumnos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/225

FUNDAMENTOS DE DERECHO

I. Competencia y procedimiento.

De acuerdo con los poderes que el artículo 58.2 del RGPD y según lo establecido en
los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante,
LOPDGDD), es competente para resolver este procedimiento la Presidencia de la
Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II. Cuestiones previas sobre el tratamiento realizado por la UIV.

2.1. Datos personales objeto de tratamiento.

Definición de los datos biométricos de carácter personal.

Los sistemas de procesamiento de datos biométricos son métodos automáticos que se
basan en recoger y procesar datos personales relativos a las características físicas,
fisiológicas o conductuales de las personas físicas, entre las que cabe incluir las
características neuronales de estas, mediante dispositivos o sensores, creando
plantillas biométricas (también denominadas firmas o patrones) que posibilitan la
identificación, seguimiento o perfilado de dichas personas.

Como ya señaló el Dictamen 4/2007 del grupo de trabajo del artículo 29 (ART. 29 de la
Directiva 95/46 CE, como organismo de la UE, de carácter consultivo e
independiente), sobre el concepto de datos personales (WP136), de 20/06/2007, los
datos biométricos pueden definirse como:

“… propiedades biológicas, características fisiológicas, rasgos de la
personalidad o tics, que son, al mismo tiempo, atribuibles a una sola persona y
mensurables, incluso si los modelos utilizados en la práctica para medirlos
técnicamente implican un cierto grado de probabilidad. Ejemplos típicos de datos
biométricos son los que proporcionan las huellas dactilares, los modelos
retinales, la estructura facial, las voces, pero también la geometría de la mano,
las estructuras venosas e incluso determinada habilidad profundamente
arraigada u otra característica del comportamiento (como la caligrafía, las
pulsaciones, una manera particular de caminar o de hablar, etc.). Una
particularidad de los datos biométricos es que se les puede considerar tanto
como contenido de la información sobre una determinada persona (Fulano tiene
estas huellas dactilares) como un elemento para vincular una información a una
determinada persona (este objeto lo ha tocado alguien que tiene estas huellas
dactilares y estas huellas dactilares corresponden a Fulano; por lo tanto, Fulano
ha tocado este objeto). Como tales, pueden servir de «identificadores». En
efecto, al corresponder a una única persona, los datos biométricos pueden
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/225

utilizarse para identificar a esa persona. Este carácter dual también se da en el
caso de los datos sobre el ADN, que proporcionan información sobre el cuerpo
humano y permiten la identificación inequívoca de una, y sólo una, persona.”

El RGPD define el art.4.14 datos biométricos como una categoría de datos personales,
señalando que son: “datos personales obtenidos a partir de un tratamiento técnico
específico, relativos a las características físicas, fisiológicas o conductuales de una
persona física que permitan o confirmen la identificación única de dicha persona,
como imágenes faciales o datos dactiloscópicos”. (el subrayado es nuestro).

Por su parte, el artículo 4.1 del RGPD, al definir los datos de carácter personal incide
en esta misma finalidad de identificación única de la persona, señalando que ““1.
Datos personales: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.
Así pues, de acuerdo con lo previsto en el RGPD, para poder determinar si estamos
en presencia de datos biométricos de carácter personal, deben concurrir los siguientes
requisitos que se deducen de la interpretación conjunta del artículo 4.14 (definición de
datos biométricos) y el artículo 4.1 del RGPD (definición de datos personales):

(i) La naturaleza de los datos: deben ser relativos a las características físicas,
fisiológicas o conductuales de una persona física.

Si el tratamiento requiere el registro previo de la imagen, huella dactilar, voz,
iris,..etc; tiene en cuenta comportamientos, o diferencia características como la
raza, sexo…etc, cumple con esta característica inicial, aunque no las almacene
y solo las emplee para generar el patrón biométrico.

(ii) La finalidad del tratamiento: los datos biométricos deben permitir o confirmar
la identificación única de dicha persona.

En este sentido, los datos biométricos, cuando permiten identificar a una
persona, como es el caso analizado en el presente caso, son datos personales
de acuerdo con la definición del artículo 4.14 RGPD y, por lo tanto, su
tratamiento está sometido a las garantías y salvaguardas establecidas en el
mismo.
En definitiva, los sistemas biométricos dirigidos a permitir o confirmar la
identificación única de una persona sí tratan datos biométricos de carácter
personal.

Las tecnologías biométricas permiten utilizar dos grandes tipos de sistemas
biométricos que se dirigen a identificar de manera única a las personas, según
señaló el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de
27/04/2012 del Grupo de Trabajo del Artículo 29, -órgano consultivo
independiente europeo en materia de protección de datos, precedente del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/225

actual Comité Europeo de Protección de Datos- (en adelante, Dictamen
3/2012):

“-Identificación biométrica: la identificación de un individuo por un sistema
biométrico es normalmente el proceso de comparar sus datos biométricos
(adquiridos en el momento de la identificación) con una serie de plantillas
biométricas almacenadas en una base de datos (es decir, un proceso de
búsqueda de correspondencias uno-a-varios). (En adelante, 1:N)

-Verificación/autenticación biométrica: la verificación de un individuo por un
sistema biométrico es normalmente el proceso de comparación entre sus
datos biométricos (adquiridos en el momento de la verificación) con una
única plantilla biométrica almacenada en un dispositivo (es decir, un
proceso de búsqueda de correspondencias uno-a-uno).”( En adelante, 1:1).

Si bien esta cuestión ha sido objeto de diversas directrices y dictámenes, lo
cierto es que desde la aprobación del RGPD se entiende que las menciones
a "permitan" pueden entenderse a la identificación, la de "confirmen" a la
autenticación. En ambos casos, sea verificación-autenticación, o
identificación las técnicas utilizadas se basan en una concordancia estimada
entre plantillas: la que se compara y la(s) de referencia. Desde este punto de
vista, son técnicas probabilísticas: la comparación deduce una probabilidad
mayor o menor de que la persona sea efectivamente quien se ha de
autenticar o identificar; y si esta probabilidad supera un determinado umbral
en el sistema, definido por su usuario o su desarrollador, el sistema
entenderá que existe una coincidencia.

Pero, con independencia de las diferencias existentes entre ambos sistemas
biométricos respecto a la probabilidad de errores, o desde el punto de vista
de las medidas de seguridad, lo cierto es que la finalidad de ambas técnicas
es la misma, toda vez que ambas se dirigen a identificar de forma unívoca a
una persona, considerándose que ambas tratan datos biométricos de
carácter personal. Más adelante se incidirá en dicha cuestión.

(iii) Los medios y las formas de tratamiento: datos “obtenidos a partir de un
tratamiento técnico específico”; que “permitan o confirmen la identificación
única de dicha persona”.

Ya desde el Dictamen WP80 del Grupo de Trabajo del Artículo 29 se
señalaba que los sistemas biométricos son: «aplicaciones de las tecnologías
biométricas que permiten la identificación automática, y/o la
autenticación/comprobación de una persona. Se suelen utilizar aplicaciones
de autenticación/comprobación para diversas tareas en campos muy
distintos y bajo la responsabilidad de una amplia gama de entidades
diferentes.»

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/225

Y todo sistema biométrico dirigido a permitir o confirmar la identificación
unívoca de las personas, para poder ser usado, ha de registrar antes la
identidad del usuario en el sistema por medio de la captura de una serie de
parámetros biométricos en bruto.

Es preciso aclarar que la información biométrica de las personas (sobre las
características físicas, fisiológicas o conductuales) puede procesarse y
almacenarse de diferentes formas:

a) A veces, la información biométrica capturada de una persona
se almacena y se trata en bruto, lo que permite reconocer la fuente
de la que procede sin conocimientos especiales; por ejemplo, la
fotografía de una cara, la fotografía de una huella dactilar (muestra) o
una grabación de voz. Estas serán un dato personal pero según el
artículo 4.14 del RGPD no serán un dato biométrico de carácter
personal puesto que no se cumple con el requisito de que el dato
biométrico en bruto haya sido procesada mediante un tratamiento
técnico que permita su identificación por una máquina a través de un
tratamiento automatizado.

Por este motivo, las imágenes de una persona que figuran en un
sistema de videovigilancia son datos personales según el artículo 4.1
del RGPD, pero no pueden considerarse datos biométricos de
carácter personal (y de categoría especial según nuestro RGPD) si
no se han tratado técnicamente de una forma específica con el fin de
contribuir a la identificación única de esa persona a través de un
sistema. Tal y como lo dispone el Considerando 51 del RGPD
también se refiere expresamente a ello, cuando señala que:

“El tratamiento de fotografías no debe considerarse
sistemáticamente tratamiento de categorías especiales de
datos personales, pues únicamente se encuentran
comprendidas en la definición de datos biométricos cuando el
hecho de ser tratadas con medios técnicos específicos permita
la identificación o la autenticación unívocas de una persona
física.”

Y de la misma forma, la imagen digital o muestras tomadas de una
huella dactilar (sea de su totalidad o algunos de sus fragmentos),
tampoco se considerarán datos biométricos de carácter personal si no
son procesadas para permitir la identificación de la persona a través
de un tratamiento automatizado.

b) Otra opción -la que emplean los sistemas biométricos como el
presente-es que esta información biométrica se manifieste en forma de
plantilla biométrica o patrón biométrico (código alfanumérico).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/225

En estos casos, la información biométrica bruta capturada es tratada
técnicamente por un software de manera que solo se extraen de la
misma ciertas características o rasgos (como fragmentos de la
muestra de huella o puntos de la imagen de la cara…etc) y se salvan
como una plantilla biométrica, llamado “vector” o “patrón biométrico”
que permite la identificación de su titular de forma automatizada.

Las Directrices sobre el uso de las tecnologías de reconocimiento
facial dictadas por el Consejo de Europa el 28/04/2021 (Guidelines on
Facial Recognition, Council of Europe), definen la plantilla biométrica
como “una representación digital de las características únicas que se
han extraído de una muestra biométrica y se almacenan en una base
de datos biométrica”.

Una plantilla biométrica o patrón biométrico es una forma de escritura
de una característica biométrica humana, como un rostro o una huella
dactilar, que se manifiesta en forma de código alfanumérico, de
manera que sea interpretable por una máquina de forma eficiente y
eficaz para un propósito o propósitos determinados. La plantilla
biométrica no está orientada a ser interpretada por una persona, como
una fotografía, sino que está orientada a ser tratada en un proceso
automatizado, es decir, ser eficiente y eficazmente interpretable por
una máquina. Esta forma de almacenamiento permitiría singularizar a
un individuo y ejecutar acciones de forma automática, perfilar o inferir
información sobre un sujeto como actitudes o patrones de
comportamiento, etc.

En otras palabras, la plantilla o patrón biométrico es la forma de
medición de las características “físicas, fisiológicas o conductuales de
una persona física” que son procesadas para asignar un código
identificador único a cada individuo, de forma que éste pueda ser
interpretado automáticamente al realizar cada lectura por el software y
los dispositivos de hardware asociados a un sistema de
verificación/identificación de la identidad biométrico, permitiendo la
comparación de los datos y verificación de la identidad de forma
automatizada.

En definitiva, según el artículo 4.14 del RGPD, para que exista un tratamiento
de datos biométricos de carácter personal se requiere, precisamente, que se
aplique sobre la información biométrica tomada en bruto (imagen digital de la
huella, cara, grabación de voz…etc) un procesamiento técnico (software o
programa como el utilizado en el presente supuesto) del que se obtenga un
“patrón biométrico” de las muestras recogidas. Por ello, el patrón biométrico o
plantilla biométrica es verdaderamente el dato biométrico de carácter personal
al que se refiere el artículo 4.14 del RGPD, puesto que la muestra en bruto de
la huella dactilar o la cara, iris, voz…etc de una persona sería un dato personal
basado en rasgos biométricos pero no un dato personal biométrico porque no
permite identificar a la misma de forma automatizada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/225

En consecuencia, siempre que se emplee un sistema de verificación de identidad (sea
mediante comparación 1:1 o comparación 1:N) que genere una plantilla biométrica a
raíz de los datos personales obtenidos en bruto de una persona que se basen en sus
características físicas, fisiológicas o conductuales (tales como las huellas, fotos de la
cara, grabaciones de voz etc)., con el fin de identificar de forma unívoca a una
persona, se estará haciendo un tratamiento de datos biométricos de carácter personal
según el artículo 4.14 del RGPD, que será considerado como de categoría especial
según el artículo 9.1 del RGPD.

Cabe aclarar las siguientes cuestiones que se han planteado por la UIV en sus
diferentes escritos de alegaciones al respecto de las plantillas biométricas:

(i) Que siempre que el sistema técnico utilizado por un responsable
genere una plantilla biométrica será porque está tratando datos
biométricos. Independientemente de que almacene o no la
misma, y el plazo durante el cual la conserve, si el programa de
reconocimiento facial genera una plantilla o patrón facial con la
finalidad de verificar la identidad de una persona es que está
tratando datos biométricos personales.

(ii) Que la plantilla biométrica se archiva en forma de código
alfanumérico, por lo que si el sistema escogido por el
responsable genera un “modelo matemático” o un “código
alfanumérico” a partir de una muestra del dato biométrico en
bruto de una persona, es porque está generando una plantilla
biométrica. También como sucede y consta acreditado en el
supuesto presente.

(iii) La plantilla o patrón biométrico actúa como un identificador
único de la persona, y se considera que es el dato biométrico de
carácter personal al que se refieren el artículo 4.14 del RGPD (y
no el dato biométrico en bruto del que se obtiene, como la
imagen de la cara, la muestra de la huella…etc), porque implica
que este dato personal en bruto ha sido procesado
técnicamente, asignando un código identificador único a cada
persona para permitir la identificación unívoca del mismo por un
sistema automatizado. Por este motivo, el hecho de que, a partir
de una plantilla biométrica, por ejemplo, de la huella dactilar o
patrón facial, no se pueda reconstruir la original carece de
relevancia, pues es el patrón biométrico el que actúa como un
identificador único que lo singulariza unívocamente, al menos,
en el marco de un tratamiento automatizado. Esto es, ese
modelo matemático o patrón facial que es la plantilla biométrica
permite que la persona sea identificada por una máquina de
forma automatizada.

o Análisis del supuesto presente: tratamiento de datos biométricos de carácter
personal por la UIV

A la vista de la documentación aportada, no hay duda de que se cumplen los requisitos
del artículo 4.14 del RGPD, y que la herramienta de software llamada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/225

***APLICACIÓN.1 contratada por la Universidad como sistema biométrico dirigido a
verificar la identidad de los alumnos matriculados que participen en sus exámenes
online y evitar el fraude/plagio monitorizando los mismos (que denomina como
“Sistema de Control de Identidad y Plagio”) trata datos biométricos de carácter
personal.

La Universidad niega en sus alegaciones al Acuerdo de Inicio y a la Propuesta de
Resolución que trate datos biométricos de categoría especial, pero no niega que trate
datos biométricos ni que el programa genere un patrón facial (plantilla biométrica),
constando evidencias en su documentación que hacen referencia a ello a las que hace
referencia el Hecho Probado Séptimo de la presente Resolución:

o La evidencia más clara de ello está en el RAT aportado al procedimiento como
Documento 2, que no deja lugar a dudas del tratamiento de datos biométricos
de carácter personal, al señalar que se tratan las siguientes categorías de
datos tratados: “datos de identificación, imagen del alumno, datos biométricos-
patrón facial, comportamiento durante el examen, y contenido de la
evaluación”.

o Ello se confirma por EIPD elaborada en septiembre de 2020 y su actualización
de 2023, añadiéndose en esta última, que “La conclusión del análisis ha sido
que la VIU debe realizar una evaluación de impacto en relación con tratamiento
analizado, por las siguientes razones:

1. Se hace uso de nuevas soluciones tecnológicas.
2. Se utilizarán datos biométricos.
3. Se hace uso de tecnologías que pueden ser percibidas como especialmente
intrusivas para la privacidad, como la combinación de los datos biométricos y la
inteligencia artificial.
4. El tratamiento puede provocar que el estudiante suspenda el examen o tenga
una nota negativa en su expediente”.

Además de estas menciones expresas, del análisis del tratamiento descrito en los
documentos aportados, tal y como se hace constar en el hecho probado octavo, se
deduce que se dan las tres circunstancias/características/requisitos que determinan
que la Universidad ha estado tratando datos biométricos personales en el sentido
previsto en el artículo 4.14 del RGPD:

1. En primer lugar, los datos que el programa utiliza para realizar las
comprobaciones de identidad se basan en características físicas, fisiológicas o
conductuales de una persona física.

Puesto que se parte de imágenes proporcionadas en bruto por el propio alumno
(selfie) durante la fase de registro (procesos on boarding y enrollement) que se
utilizan para generar la plantilla biométrica; y la correspondencia biométrica o
comprobación de identidad durante el examen se realiza a través de imágenes o
screenshots que van capturando las cámaras que monitorizan el mismo. Y
además de captar características fisiológicas (imagen de la cara), captan incluso
características conductuales puesto que las EIPD elaboradas por la Universidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/225

indican que el programa analiza ciertas conductas que identifica como anómalas,
como posibles fraudes, a través de técnicas de inteligencia artificial e incluye
mecanismos de decisiones automatizadas que se supervisan por un profesor.

2. En segundo lugar, consta acreditado que el programa realiza un procesamiento
técnico de estos datos, y genera una plantilla biométrica o patrón facial de los
alumnos que se utiliza durante todo el examen para realizar las verificaciones de
identidad del alumno.

La Universidad afirma en su escrito de alegaciones al Acuerdo de Inicio (alegación
segunda) que “la aplicación ***APLICACIÓN.1 no crea un patrón biométrico en el
momento de registro del alumno”, y que “no almacena el patrón biométrico del
alumno”, sino que este “se crea y se destruye en el momento de verificación del
examen”.

A la vista de la información indicada en el RAT y las EIPDs aportadas al
procedimiento, se observa que la UIV parte de un error de conceptuación al
distinguir entre el tratamiento de “datos biométricos” y “patrones faciales”, puesto
que las imágenes que se almacenan durante la fase de alta en ***APLICACIÓN.1
y las que se generan durante el examen no son datos biométricos, sino datos
personales basados en rasgos biométricos. Los únicos datos biométricos
personales son los patrones faciales que se generan durante el examen, y se
utilizan para realizar las comparaciones que se realizan durante la autenticación
de identidad.

Y por otra parte, en las alegaciones al acuerdo de inicio se partía de la premisa
errónea de que al no almacenarse los datos biométricos (patrones faciales) no se
están tratando datos biométricos personales, lo que no es cierto, como ya se ha
explicado en la Propuesta de Resolución, puesto que con independencia de que la
universidad haya aplicado una medida de seguridad desde el diseño y por defecto
que evita que los datos biométricos tengan que quedar almacenados, lo cierto es
que ha contratado un software de reconocimiento facial que genera un patrón
facial del estudiante extraído de las imágenes almacenadas y capturadas durante
el examen, y lo utiliza para verificar la identidad del estudiante durante todo el
examen cada dos segundos. Y así se ha constatado por los informes elaborados
por la consultoría informática ***EMPRESA.3 y el suministrador que desarrolló el
programa ***EMPRESA.2, todo ello según consta en el hecho probado octavo.

En las alegaciones a la Propuesta de Resolución, la UIV no incluye referencias a
la falta de almacenamiento de plantillas biométricas, ni formula alegaciones frente
a la argumentación que fue realiza al respecto de esta cuestión, partiendo del
hecho indiscutible de que su programa trata datos biométricos puesto que genera
y explota patrones faciales de sus alumnos, y reconociendo que se cumplen en
este supuesto los requisitos del artículo 4.14 del RGPD, si bien sigue discutiendo
que los datos biométricos personales tratados puedan calificarse como de
categoría especial.

3. En tercer lugar, consta reconocido en la documentación que la finalidad del
tratamiento es “confirmar la identificación única de los alumnos”, (o lo que es lo
mismo, en palabras del artículo 9 del RGPD, la identificación unívoca de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/225

alumnos) para comprobar que se presentan al examen las personas matriculadas
y que estas están presentes durante todo el proceso de realización del examen.

La Universidad mantiene en sus alegaciones frente a la Propuesta, como se ha
dicho, que su programa no trata datos biométricos de categoría especial puesto
que se basa en procesos de autenticación de la identidad, realizando
comparaciones 1:1 entre las imágenes que proporciona el alumno y las que
captan las cámaras que utiliza el sistema, y la plantilla biométrica que se genera
por el sistema.

De acuerdo con lo que consta en los hechos probados del presente
procedimiento, y pese a que la Universidad insiste en negar que el tratamiento sea
de alto riesgo y que incluya datos biométricos de categoría especial, lo cierto es
que de la documentación obrante en el procedimiento se deduce lo contrario. Y en
sus alegaciones al acuerdo de inicio no se aportaron nuevos documentos dirigidos
a acreditar esta cuestión controvertida relativa a la naturaleza jurídica del
tratamiento realizado, puesto que se acompaña únicamente el Documento 1
(Informe ponderación de intereses y beneficios), que nada tiene que ver con esta
cuestión sino con el requisito de proporcionalidad del tratamiento del artículo
5.1.c) del RGPD. Ni tampoco los documentos aportados en las alegaciones a la
propuesta de resolución acreditan que el software empleado no trate datos
biométricos de categoría especial, por los motivos que serán indicados al
contestar a las mismas en el Fundamento de Derecho V.

De la documentación analizada se desprende que la Universidad está tratando
datos biométricos y que éstos están dirigidos a identificar de manera unívoca a los
alumnos que participan en sus exámenes online con la finalidad de controlar el
fraude y garantizar la calidad académica. Tal y como se describe el
funcionamiento del programa en los documentos 3.2 (Memoria Máster), y 5 (EIPD
de 2020 y actualizaciones de 2023 y 2024), no cabe duda de que los datos
biométricos tratados por el programa ***APLICACIÓN.1 (en todas las versiones
contratadas por la Universidad) utiliza un sistema de autenticación continua del
alumno cuya finalidad es la identificación unívoca del mismo, a los efectos de
comprobar que el alumno matriculado es el que se presenta y está realizando el
examen.

Por tanto, existen evidencias de que la finalidad del reconocimiento facial es la
identificación unívoca del alumno que se realiza en diversas fases: (…).

Así pues, lo cierto es que no cabe duda de que la finalidad es identificar que el alumno
que se presenta al examen es el que consta matriculado y registrado en el campus
virtual, y que éste está presente durante todo el proceso de examen. Todo ello, con
independencia de que el proceso de comprobación de la correspondencia biométrica
se realice a través de comparaciones 1.1 o 1:N.

En conclusión, tal y como señala los Hechos Probados Séptimo y Octavo de esta
Resolución, consta acreditado que la misma ha venido realizando un tratamiento de
datos personales de los estudiantes que participaron en sus exámenes online a través
del programa de reconocimiento facial y monitorización de exámenes

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/225

***APLICACIÓN.1, que requiere el tratamiento de datos biométricos de carácter
personal de acuerdo con lo previsto en los artículos 4.14 y 4.1 del RGPD.

2.2. Características y riesgos del tratamiento de los datos biométricos de carácter
personal.

Los sistemas que tratan datos biométricos de carácter personal emplean una
tecnología que puede ser realmente intrusiva y requiere de un debate ético y jurídico
sosegado, toda vez que puede tener efectos muy adversos en los valores
fundamentales y la integridad humana. Véanse solo alguna de las características
especiales de los sistemas biométricos empleados en general y piénsese en el
impacto significativo que producen cuando se comprometen estos datos-generando
riesgos adicionales en los derechos y libertades de los interesados-, en comparación a
cuando se tratan otro tipo de datos de carácter personal:

- Los sistemas biométricos están estrechamente vinculados a una persona,
dado que pueden utilizar una determinada propiedad única de un individuo para
su identificación. Cada individuo tiene impresiones dactilares únicas que
muestran características específicas que pueden medirse para decidir si una
impresión dactilar corresponde con una muestra registrada. Por lo tanto, son
únicos, permanentes o definitivos en el tiempo y la persona no puede liberarse
de ellos, no se pueden cambiar nunca, ni con la edad, por lo que el daño
creado en caso de compromiso-pérdida o intrusión en el sistema es irreparable
en este caso. A diferencia de una contraseña, en caso de pérdida, los datos de
nuestra huella dactilar o cara no se pueden cambiar.

- Además, debido a que los datos biométricos son propios de una persona y
perpetuos, el usuario puede utilizar los mismos datos en diferentes sistemas.

- Mientras que los métodos tradicionales de autenticación como las
contraseñas requieren una coincidencia del 100% de carácter por carácter para
permitir que el usuario acceda por ejemplo a una cuenta o aplicación (métodos
deterministas), los métodos de biometría se denominan “probabilísticos”,
porque se basan en la probabilidad de que el usuario que intenta acceder a un
determinado dispositivo o aplicación sea la misma persona que el usuario
registrado. Podemos medir el rendimiento de un sistema biométrico a partir de
tres características principales. Estas son: tasa de falsos rechazos (FRR), tasa
de falsas aceptaciones (FAR) y tasa de errores iguales (ERR). La tasa de
falsos rechazos representa la probabilidad de errores de detección por parte de
un sistema biométrico, lo que significa que no puede reconocer a un usuario
cuyas características biométricas ya están en la base de datos. En caso de
rechazo, la persona debe verificar su identidad de nuevo. Desde una
perspectiva de seguridad y protección, esta tasa no significa que sea
necesariamente un resultado negativo. Cada método biométrico, ya sea lectura
de cara, de huella dactilar, huella palmar, iris, etc., tiene diferentes valores para
diferentes tasas en función de las cuales un sistema rechaza o acepta las
entradas.

Como señala el informe del Centro Criptográfico Nacional (CCN) de diciembre de
2024, existe un nuevo tipo de sistemas biométricos, que utilizan las denominadas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/225

plantillas biométricas renovables RBR, en las que no concurren la totalidad de estas
características, creadas por la norma ***CERTIFICACIÓN.2, que según el CCN:
“Estandariza protecciones adicionales de seguridad a las plantillas biométricas
creando las denominadas “Renewables Biometric References (RBR)” o “plantillas
biométricas RBRs” que tienen las características siguientes:

• Multiplicidad. Sobre cada rostro de una persona pueden obtenerse
una cantidad casi infinita de plantillas "RBRs" distintas.
• Irreversibilidad. Es imposible obtener a partir de una plantilla RBR
los rasgos biométricos de una persona.
No interoperabilidad. Para cada caso de uso se crea una plantilla
“RBR” específica partiendo de los mismos rasgos, pero utilizando
factores de ordenación distintos.
• Revocabilidad. En caso de compromiso de un sistema, las
plantillas RBR pueden ser revocadas y sustituidas por otras.
• No permanencia. La expresión numérica concreta de una plantilla
“RBRs” se puede modificar mediante cambios en el sistema”

No obstante, cabe aclarar, que el uso de estas nuevas plantillas RBR supone la
adopción de una medida de seguridad cuyo empleo es recomendable, pero en ningún
caso justifica por sí sola la necesidad y proporcionalidad de un tratamiento, ni elimina
la totalidad los riesgos que el empleo de estas técnicas biométricas generan para los
derechos y libertades de los interesados cuyos datos biométricos son tratados por las
mismas. Y no cabe alegar su empleo en este supuesto, puesto que no consta en la
documentación técnica aportada que el software empleado por la UIV -cuya
contratación fue anterior a la ***CERTIFICACIÓN.2 que creó las mismas- utilizase este
tipo de plantillas RBR, como más adelante se señalará.

Cabe destacar, además, que dentro de los métodos que utilizan datos biométricos, los
basados en reconocimiento facial (implantado en el supuesto presente) pueden ser
incluso más intrusivos que los de detección de huella dactilar, incrementando
exponencialmente los riesgos para los derechos y libertades fundamentales de los
interesados, dados los usos que tiene el reconocimiento facial, máxime cuando se
suma a la inteligencia artificial como sistema de reconocimiento automatizado de
rasgos humanos.

Así lo habían puesto ya de manifiesto las Directrices 05/2022 del Comité Europeo de
Protección de Datos (en adelante, CEPD sobre el uso de la tecnología de
reconocimiento facial (denominada FRT) en el ámbito de aplicación de la ley, órgano
consultivo independiente y máxima autoridad en la materia, que indica lo siguiente (el
subrayado es nuestro):

“Gran parte del mayor interés en FRT se basa en la eficiencia y escalabilidad de
FRT. Con estos vienen las desventajas inherentes a la tecnología y su aplicación,
también a gran escala. Si bien puede haber miles de conjuntos de datos personales
analizados con solo pulsar un botón, los efectos ya leves de la discriminación
algorítmica o la identificación errónea pueden crear un gran número de personas
afectadas severamente en su conducta y en su vida diaria. El gran tamaño del
tratamiento de los datos personales, y en particular de los datos biométricos, es
posible otro elemento clave del FRT, ya que el tratamiento de datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/225

constituye una injerencia en el derecho fundamental a la protección de los datos
personales de conformidad con el artículo 8 de la Carta de los Derechos
Fundamentales de la Unión Europea (en lo sucesivo, «la Carta»).
La aplicación de la FRT de las LEA tendrá, y en cierta medida ya lo hace,
importantes implicaciones para las personas y los grupos de personas, incluidas las
minorías. Estas implicaciones también tendrán efectos considerables en la forma
en que vivimos juntos y en nuestra estabilidad política social y democrática,
valorando la gran importancia del pluralismo y la oposición política. El derecho a la
protección de los datos personales a menudo es clave como requisito previo para
garantizar otros derechos fundamentales. La aplicación de FRT es
considerablemente propensa a interferir con los derechos fundamentales más allá
del derecho a la protección de datos personales”.

En este contexto, el CEPD considera importante recordar que el FRT, ya sea para
fines de autenticación o identificación, no prevé un resultado definitivo, sino que se
basa en probabilidades de que dos caras, o imágenes de caras, correspondan a la
misma persona. Este resultado se degrada aún más cuando la calidad de la
entrada de muestra biométrica al reconocimiento facial es baja. La borrosidad de
las imágenes de entrada, la baja resolución de la cámara, el movimiento y la poca
luz, pueden ser factores de baja calidad. Otros aspectos con un impacto
significativo en los resultados son la prevalencia y la falsificación, por ejemplo,
cuando los delincuentes intentan evitar pasar por las cámaras o engañar a la FRT.
Numerosos estudios también han puesto de relieve que tales resultados
estadísticos del procesamiento algorítmico también pueden estar sujetos a sesgos,
en particular como resultado de la calidad de los datos de origen, así como de las
bases de datos de capacitación u otros factores, como la elección de la ubicación
del despliegue. Además, cabe destacar el impacto de la tecnología de
reconocimiento facial en otros derechos fundamentales, como el respeto de la vida
privada y familiar, la libertad de expresión e información, la libertad de reunión y
asociación, etc (…)
(…) A menudo, FRT utiliza componentes de inteligencia artificial (IA) o aprendizaje
automático (ML). Si bien esto permite el procesamiento de datos a gran escala,
también induce el riesgo de ndiscriminación y resultados falsos(…).”

Por último, cabe señalar que el Dictamen 11/2024 de 23 de mayo de 2024 del CEPD
sobre el uso del reconocimiento facial para racionalizar el flujo de pasajeros del
aeropuerto recuerda y confirma la necesidad de considerar el elevado nivel de riesgo
que conllevan este tipo de tratamientos biométricos y hace hincapié en la necesidad
de evaluar sus riesgos e impacto, y en especial, en determinar si existen medios
alternativos menos intrusivos para lograr la finalidad de que se trate (verificar la
identidad de los alumnos que se presentan al examen en este caso), con menciones
como las siguiente:

“Como observación preliminar, el Comité recuerda que el uso de datos
biométricos y, en particular, de tecnología de reconocimiento facial
conlleva mayores riesgos para los derechos y libertades de los
interesados. Se refiere al tratamiento de datos biométricos a los que se
concede una protección especial en virtud del artículo 9 del RGPD. Antes
de utilizar dichas tecnologías, incluso si se consideraran especialmente
eficaces, los responsables del tratamiento deben evaluar el impacto en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/225

los derechos y libertades fundamentales de los interesados y considerar
si medios menos intrusivos pueden alcanzar su finalidad legítima del
tratamiento”.

2.3. Los datos biométricos como datos personales de categoría especial y alto riesgo.
Tal y como se ha señalado, de acuerdo con el artículo 4.14 del RGPD (en relación con
el artículo 4.1 del RGPD) son datos biométricos de carácter personal todos aquellos
que: (i) sean relativos a las características físicas, fisiológicas o conductuales de una
persona física; (ii) su finalidad sea la de permitir o confirmar la identificación única de
una persona física (incluyendo sistemas de autenticación 1.1 e identificación 1:N); (iii)
y que se sometan a un tratamiento técnico específico dirigido a permitir o confirmar la
identidad unívoca de las personas (que de lugar a la generación, archivo, explotación y
destrucción de plantillas biométricas obtenidas de las muestras del dato capturado en
bruto).
Tras la aprobación del actual RGPD, siempre que se realice un tratamiento de datos
que sean biométricos de carácter personal de acuerdo con la definición del artículo
4.14 del RGPD, estos serán, a su vez (i) datos personales de categoría especial según
el artículo 9 RGPD, (ii) y el tratamiento de los mismos será considerado de “alto
riesgo” según el artículo 35 del RGPD.

Hay que tener presente que la evolución tecnológica en esta materia está avanzado a
un nivel agigantado e imparable, máxime en los últimos años en la que la tecnología
biométrica puede combinarse con técnicas de inteligencia artificial, como realiza el
programa ***APLICACIÓN.1. La regulación anterior al actual RGPD databa del año
1995, donde todavía no se aplicaban tecnologías biométricas en el ámbito de la
identificación de las personas. Por ello, la anterior “Directiva 95/46/CE del Parlamento
Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las
personas físicas en lo que respeta al tratamiento de datos personales y a la libre
circulación de estos datos” no hacía referencia alguna al concepto de datos
biométricos. Únicamente se contenía una definición de lo que se consideraba como
dato personal en el artículo 2 de la Directiva. Y al no existir entonces los datos
biométricos, tampoco se incluían entre las categorías especiales de datos personales
cuyo tratamiento estaba prohibido -con excepciones-por el anterior artículo 8.

En este sentido, hay que tener en cuenta que la aprobación del RGPD ha supuesto un
cambio de paradigma en materia de protección de datos personales que pretende
garantizar aún más a los ciudadanos el control de sus datos personales, estableciendo
unos estándares de protección elevados y adaptados al entorno digital en que vivimos.

Siempre que se traten datos de carácter personal, de cualquier tipo que sean, el
responsable deberá cumplir con los principios y obligaciones previstos en la normativa
de protección de datos para todo tipo de datos personales.

Pero cuando los datos personales a tratar sean biométricos cuya finalidad sea la
identificación unívoca de las personas, se debe considerar además que -a diferencia
de lo que sucedía bajo el régimen anterior al RGPD- desde la entrada en vigor del
RGPD el 25 de mayo de 2018 según su artículo 99, los datos biométricos de carácter
personal que encajen en la definición del artículo 4.14 del RGPD están considerados
como datos personales de categoría especial según lo previsto en artículo 9 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/225

RGPD, cuyo tratamiento está generalmente prohibido, salvo que concurra alguna de
las excepciones previstas en el artículo 9.2 del RGPD. Lo que no exime de que
siempre deba existir además una base de licitud prevista en el artículo 6 del mismo,
entre otros muchos requisitos y principios que deberá cumplir aquel que decida optar
por este tipo de tratamientos.

De acuerdo con el artículo 9.1 del RGPD, queda prohibido el tratamiento de datos
biométricos cuando sean: “datos biométricos dirigidos a identificar de manera unívoca
a una persona física”.

Al respecto del concepto de datos biométricos personales de categoría especial, cabe
aclarar dos cuestiones de definición que se plantean por la Universidad en sus
alegaciones al acuerdo de inicio y a la propuesta de resolución:

1. Sobre la inclusión en la definición de los sistemas de autenticación e
identificación.

El nuevo Considerando 51 del RGPD aclara que se incluyen dentro de este
concepto tanto los procedimientos de identificación (1:N) como los de
autenticación (1.1): señalando al respecto que: “(…) pues únicamente se
encuentran comprendidas en la definición de datos biométricos cuando el hecho
de ser tratadas con medios técnicos específicos permita la identificación o la
autenticación unívocas de una persona física. Tales datos personales no deben
ser tratados, a menos que se permita su tratamiento en situaciones específicas
contempladas en el presente Reglamento”.

La parte reclamada alega -como motivo principal sobre el que pivotan la mayor
parte de las alegaciones al acuerdo de inicio y a la propuesta de resolución- que
su programa de reconocimiento facial no trata datos biométricos de categoría
especial, e insiste en aplicar el criterio contenido en el Dictamen 3/2012 del
Grupo de Trabajo del Artículo 29, que se dictó bajo la vigencia de la anterior
Directiva 95/46/CE, que al examinar la anterior Directiva llegó a la siguiente
conclusión:

“(…) Atendiendo a la citada distinción, puede interpretarse que, de acuerdo con
el artículo 4 del RGPD, el concepto de dato biométrico incluiría ambos
supuestos, tanto la identificación como la verificación/autenticación. Sin
embargo, y con carácter general, los datos biométricos únicamente tendrán la
consideración de categoría especial de datos en los supuestos en que se
sometan a tratamiento técnico dirigido a la identificación biométrica (uno-a-
varios) y no en el caso de verificación/autenticación biométrica (uno-a-uno)”
Cabe aclarar que dicha consideración se realizó en el marco de la normativa
anterior en la que el artículo 2 de la Directiva no definía el concepto de datos
biométricos, sino solo el de datos personales, y el artículo 8 de la Directiva no
incluía a los datos biométricos como datos de categoría especial. Pero
actualmente la situación es muy diferente, pues el RGPD si define los datos
biométricos que se consideran datos personales, y los incluye como categoría
especial en el artículo 9 del RGPD, y además, ha aclarado en su Considerando
51 que tanto autenticación como identificación son datos biométricos personales
de categoría especial.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/225

Por tanto, el criterio contenido en dicho Dictamen 3/2012 no puede considerarse
equiparable a la situación normativa existente desde la entrada en vigor del
actual RGPD (25-5-18). A partir de dicha fecha, la parte reclamada debió ser
consciente de que el tratamiento de datos biométricos que venía realizando
anteriormente con su programa de reconocimiento facial había pasado a ser
considerado como un tratamiento de datos personales de categoría especial, y
de alto riesgo, a los efectos de haber implementado las pertinentes actuaciones
que fueran necesarias para adaptarse a las nuevas exigencias del RGPD. Las
Directrices del nuevo órgano consultivo máximo en materia de protección de
datos (CEPD) (Directrices 3/2019 y 5/2022, a las que se hará referencia
posteriormente) no vinieron sino a confirmar que la regulación había incluido
ambos sistemas de procesamiento biométrico. Pero no hay que olvidar que las
obligaciones que previno el RGPD en materia de datos biométricos de categoría
especial eran aplicables tanto para procesos de autenticación 1.1 como de
identificación 1.N desde el día siguiente a la entrada en vigor de la norma.
Cuestión distinta es la de si cabe imputar una actuación negligente a la
Universidad por no haber realizado una correcta interpretación de estos
preceptos, al considerar que su proceso de verificación de identidad 1:1 no trata
datos biométricos personales de categoría especial, cuestión a la que se hará
referencia los Fundamentos de Derecho III y IV, al contestar a las alegaciones
realizadas por la universidad.

2. Sobre la pretendida diferencia entre los conceptos de datos biométricos de
carácter personal y de categoría especial.

Más adelante se entrará a contestar a los argumentos realizados por la
universidad al respecto de esta cuestión.

No obstante, cabe adelantar en este apartado que, contrariamente a lo que
señala la UIV, el RGPD no distingue entre datos biométricos de carácter
personal y datos biométricos personales de categoría especial. Puesto que
desde la aprobación del RGPD, todos los datos biométricos de carácter personal
que encajen en la definición del artículo 4.14 del RGPD serán considerados
como datos personales de categoría especial en el citado artículo 9 del RGPD.

Esto es así porque el concepto de datos biométricos que son considerados de
categoría especial en el artículo 9 del RGPD coincide con la definición de datos
biométricos de carácter personal del artículo 4.14 del RGPD, dado que se habla
de “datos biométricos”, y ambas definiciones se refieren a la misma finalidad del
tratamiento.

Esta interpretación se confirma por las Directrices 05/2022, del CEPD, cuando
señala lo siguiente: “(…) Si bien ambas funciones — autenticación e
identificación — son distintas, ambas se relacionan con el tratamiento de datos
biométricos relacionados con una persona física identificada o identificable y, por
lo tanto, constituye un tratamiento de datos personales y, más específicamente,
un tratamiento de categorías especiales de datos personales”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/225

Dicho de otro modo, podrá haber datos biométricos que no sean datos
personales porque no cumplan los requisitos del artículo 4.14 del RGPD, pero
siempre que estemos ante datos biométricos de carácter personal estaremos
ante datos personales de categoría especial para nuestro actual RGPD. Toda
vez que, a diferencia de lo que sucedía con la normativa anterior, los conceptos
de dato personal biométrico y dato biométrico de categoría especial son
equivalentes en el nuevo RGPD.

Por tanto, si se prueba, como en este caso, que la Universidad trata datos
biométricos de carácter personal dirigidos a identifica de forma unívoca a una
persona, ello implicará que también trata datos personales de categoría especial.

Aclaradas ambas cuestiones, es necesario recalcar que la calificación de los datos
biométricos como datos de categoría especial implica, necesariamente, la observancia
de una especial cautela por el responsable a la hora de determinar si es posible llevar
a cabo un tratamiento de datos de esta naturaleza. Entre otras cosas, y además de
existir una excepción que permita salvar la prohibición del artículo 9.1 del RGPD, de
que exista una base de licitud del artículo 6 del RGPD y de que se cumplan los
principios del RGPD, el sujeto que pretenda implantar sistemas de datos biométricos,
(en este caso, UIV) debería haber analizado previamente la concurrencia de los
preceptivos criterios de necesidad, idoneidad y proporcionalidad del tratamiento.

Esto es, quien pretenda instaurar un tratamiento de datos personales de esta
naturaleza debe, antes que nada, asegurarse de que se supere lo que se ha
denominado en la jurisprudencia como “el triple juicio de proporcionalidad”,
planteándose en especial si el tratamiento de datos biométricos es idóneo,
proporcionalidad, y sobre todo, necesario. Si existen otros sistemas no biométricos
que permitan conseguir la misma finalidad de identificar-verificar la identidad de las
personas con eficacia y seguridad, no será necesario iniciar tratamientos biométricos,
y, por tanto, implantar este sistema se considerará contrario al RGPD. Este juicio debe
ser el punto de partida de su análisis, pues sólo en caso de que estos métodos
superen el citado triple juicio, se exigirá el cumplimiento de otros requisitos o
garantías.

Por otra parte, además de ser datos de categoría especial, el tratamiento de datos
biométricos se considera de siempre alto riesgo a tenor de lo previsto en el apartado 4
del artículo 35, que dispone que “La autoridad de control establecerá y publicará una
lista de los tipos de operaciones de tratamiento que requieran una evaluación de
impacto relativa a la protección de datos de conformidad con el apartado 1”, dado que
consta entre los tratamientos incluidos en la Lista de tipos de tratamiento de datos que
requieren evaluación de impacto relativa a la protección de datos, hecho público por la
AEPD en desarrollo de la previsión contemplada en el apartado cuarto del referido
artículo 35.

No hay duda del carácter de alto riesgo de los datos biométricos, habida cuenta de
que todos los datos biométricos que se dirijan a identificar de manera unívoca a una
persona cumplen con al menos dos de los 3 criterios contenidos en dicha lista, puesto
que le son aplicables los correspondientes a los números 4, 5 y 10 de dicho
documento (aquellos que impliquen el uso de categorías especiales de datos; el uso

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/225

de datos biométricos y los que impliquen la utilización de nuevas tecnologías o un uso
innovador de tecnologías consolidadas).

Por tanto, desde la entrada en vigor del RGPD, cuando un tratamiento es de “alto
riesgo”, como sucede con los métodos de control de presencia o acceso basados en
métodos de fichaje biométricos, es obligatorio realizar siempre una evaluación de
impacto (EIPD), de acuerdo con lo previsto en el artículo 35.1 del RGPD, debiendo
esta EIPD ser previa al inicio del tratamiento, pero realizarse a su vez de forma
continua. Y no bastará con realizarla, sino que la misma deberá considerarse válida,
porque cumpla con los requisitos previstos en el citado artículo, en especial, que
contenga como mínimo la información del art. 35.7 del RGPD, que señala lo siguiente:

“La evaluación deberá incluir como mínimo:

a)una descripción sistemática de las operaciones de tratamiento previstas y de
los fines del tratamiento, inclusive, cuando proceda, el interés legítimo
perseguido por el responsable del tratamiento;

b) una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;

c) una evaluación de los riesgos para los derechos y libertades de los
interesados a que se refiere el apartado 1, y

d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos personales,
y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta
los derechos e intereses legítimos de los interesados y de otras personas
afectadas”.

En conclusión, el responsable que trate datos biométricos de carácter personal deberá
ser consciente de que este tratamiento está calificado como un tratamiento de alto
riesgo que requiere la previa elaboración y superación de una EIPD, y que está
tratando datos de categoría especial, por lo que deberá justificar que concurre una de
las excepciones del artículo 9.2 del RGPD, antes de iniciar o continuar con dicho
tratamiento.

Ello es lo que sucede en el supuesto presente, en el que consta acreditado que el
programa ***APLICACIÓN.1 contratado por la Universidad trata datos biométricos de
carácter personal, lo que implica, como ya se ha dicho y consta acreditado en el hecho
probado octavo de esta Resolución, que éstos serán de categoría especial y su
tratamiento será considerado de alto riesgo.

2.4. Sobre las operaciones de tratamiento de datos biométricos y el responsable de su
tratamiento.

El artículo 4.2 del RGPD define el “tratamiento de datos personales” como: “cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjunto de
datos personales ya sea por procedimientos automatizados o no, como la recogida,
registro, organización, estructuración, conservación, adaptación o modificación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/225

extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier
otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;”

Si el tratamiento consiste en el control de presencia con la finalidad de verificar la
identidad de las personas físicas utilizando sistemas de identificación/autenticación
biométrica, poner en marcha el mismo requerirá realizar necesariamente un conjunto
variado de operaciones por el responsable que requieren el tratamiento de datos
personales biométricos según el artículo 4.2 del RGPD. Entre las que cabe incluir:

o El tratamiento material de los datos biométricos en un sistema biométrico suele
constar de diferentes procesos tales como el registro, almacenamiento, y su
explotación o utilización.

Ello abarca diversas operaciones de tratamiento como la recogida o captura de
la imagen del alumno, su procesamiento para convertirla en un vector o
plantilla biométrica, su registro, almacenamiento, la identificación-autenticación
de este en el proceso de correspondencia biométrica en el que se compara la
plantilla almacenada con el dato en bruto de la persona (cara, huella o voz), el
registro de tiempo y otros posibles datos, así como procesamiento para
determinar determinadas consecuencias o resultados, detectar conductas
anómalas…etc. Y también serán operaciones de tratamiento las dirigidas a su
supresión, limitación…etc. Todas ellas serán operaciones de tratamiento de
datos personales biométricos de categoría especial y alto riesgo.

o El diseño del propio tratamiento biométrico es también considerado como una
operación de tratamiento que debe estar sometida a los Principios y
obligaciones previstos en el RGPD. Ello es así dado que de acuerdo con lo
señalado por el Comité Europeo de Protección de Datos en sus Directrices
7/2020 sobre el responsable y encargado del tratamiento de 7 de julio de 2021,
y el Tribunal de Justicia de la Unión Europea (en sentencias como la de 5 Oct.
2023, C-659/2022), el artículo 4.2 del RGPD recoge un concepto amplio de
tratamiento de datos personales. Un concepto amplio que comienza con el
diseño del tratamiento, que es a partir del cual nacen las obligaciones de
respetar los principios de protección de datos y resto de obligaciones previstas
en el RGPD.

En el supuesto presente, Según el RAT aportado por la Universidad, la actividad del
tratamiento se describe como “Proctorización de exámenes online”, cuyas finalidades
son:

1. Verificar que el estudiante que se presenta al examen es quien dice ser
2. Evitar suplantaciones de identidad.
3. Evitar el fraude o copia en los exámenes.
4. Garantizar la calidad e integridad académica.
5. Dar cumplimiento a los requisitos de las entidades certificadoras (ANECA).”

Aunque la EIPD de 2020 se refería únicamente a las 3 primeras finalidades, la
actualización de la misma en 2023 hace referencia a estas mismas 5 finalidades del
tratamiento. Tal y como consta en el Hecho Probado Quinto, el tratamiento se describe
como “Reconocimiento facial y control del escritorio” en la EIPD de septiembre de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/225

2020, y como “Reconocimiento facial del usuario y prevención del fraude en exámenes
online” en la EIPD elaborada en julio de 2023.

De acuerdo con lo expuesto, podemos decir que estamos en presencia de un
tratamiento de datos personales realizado por la Universidad cuya finalidad es
establecer un sistema de identificación unívoca de la identidad de los alumnos que
participan en sus exámenes como medio de control de presencia y monitorización de
los exámenes para evitar el plagio y fraude en los mismos.

En concreto, se realiza un tratamiento de los siguientes datos de carácter biométrico:

• (…)”.

Tenemos, pues, que este tratamiento combina diversos sistemas tecnológicos que se
utilizan para poder llevar a cabo la finalidad del tratamiento: (i) un sistema de
reconocimiento facial, que implica el tratamiento de datos biométricos dirigido a
identificar de forma unívoca al alumno que se presenta al examen durante toda su
realización, (ii) un sistema de monitorización a través de videovigilancia (cámara web,
grabación de escritorio, grabación de audio, y grabación del entorno mediante doble
cámara), que capta imágenes que se comparan con los datos biométricos
almacenados del alumno; (iii) y un sistema de inteligencia artificial que de acuerdo con
la EIPD se utiliza para detectar los comportamientos considerados como
“sospechosos” a los efectos del fraude.

En conclusión, de acuerdo con la documentación obrante en el procedimiento, y lo
manifestado por la propia Universidad en los tres escritos presentados a lo largo del
procedimiento, consta reconocido y acreditado que la misma implantó de forma un
tratamiento de datos personales biométricos de categoría especial de acuerdo con lo
previsto en los artículos 4.14 y 9 del RGPD, que está considerado como un tratamiento
de alto riesgo que de acuerdo con lo previsto en el artículo 35 del RGPD.

Por lo que respecta a la responsabilidad, el artículo 4. 7 del RGPD, define al: “7)
«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros”.

Tal y como se ha expuesto, consta acreditado que la Universidad encargó el
tratamiento de datos a la entidad ***EMPRESA.2, con la que suscribió un contrato de
servicio para contratar el programa ***APLICACIÓN.1 en el año 2015, cuya última
adenda data de 19-12-22 y ha sido aportada al procedimiento. Dicha Adenda adjunta
como Anexo I un contrato de encargo en cuya cláusula 3.5 se indica que el
“suministrador” (encargado del tratamiento) tratará los datos personales de acuerdo
con las instrucciones de la UIV, y su cláusula 4 establece las “facultades de la UIV
como responsable del tratamiento”. Por tanto, no cabe duda de que en el supuesto
presente es la UIV la responsable del tratamiento -pese a que exista un encargado del
mismo, e incluso conste en la EIPD que se subencargó el tratamiento de varias
acciones a otras dos entidades ***APLICACIÓN.1 y ***EMPRESA.2- puesto que es la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/225

que define los fines y medios del tratamiento, a los efectos previstos en el artículo 4.7
del RGPD.

En consecuencia, de las evidencias que obran hasta el momento en el expediente,
tras la instrucción practicada, se deduce que la UIV ha incurrido en la comisión de dos
infracciones administrativas del RGPD, que persisten en la actualidad, en los términos
que se exponen a continuación en los siguientes Fundamentos de Derecho de esta
Resolución.

III. Sobre la admisión y valoración de la prueba.

En las alegaciones al acuerdo de inicio presentadas por la Universidad el 21 de mayo
de 2024, la UIV aportó y solicitó la admisión de la siguiente prueba:

o Junto con el escrito de alegaciones, acompaña el Documento 1, sobre “Informe
de Ponderación de Interés Legítimo”, al objeto de acreditar que el programa
***APLICACIÓN.1 es proporcional por suponer más beneficios que perjuicios
para los interesados. Si bien, se observa que el mismo se configura como una
actualización de la EIPD, que no fue aportada hasta el momento en el
procedimiento.

o Y mediante “otrosí digo primero” solicita lo siguiente: “que en virtud del art.
53.1.e. y art. 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas, y demás normativa
legal de aplicación, se viene a solicitar el recibimiento del procedimiento a
prueba para acreditar que no concurren los elementos que se exigen para la
imposición de una sanción, así como los hechos que demuestran la
procedencia de archivar el presente procedimiento sancionador, lo que se
manifiesta a los efectos de hacer efectivo el derecho de defensa. En concreto,
se aportaría dictamen pericial sobre las características técnicas descritas en los
puntos 3, 4, 8, 9 y 1O de la Alegación Segunda y puntos 2 y 3 de la Alegación
Cuarta, y dado que, por el corto plazo para formular alegaciones, no ha sido
posible aportarlo con este escrito”.
Posteriormente, con fecha de 24 de julio de 2024, la UIV presenta escrito aportando
dicho informe pericial emitido por la consultoría informática ***EMPRESA.3.
De acuerdo con lo dispuesto en el artículo 77 y 78 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), se dictó acuerdo de prueba por esta instructora con fecha de 15
de enero de 2025, en el que admitió a trámite la prueba presentada por la universidad,
se unieron al procedimiento dos diligencias expedidas el 16-12-24 por esta instructora
para acreditar el volumen de negocio y el volumen de alumnos matriculados en la
misma, y se acordó requerir a la universidad, al objeto de fijar los hechos probados
controvertidos del procedimiento que se consideran relevantes para determinar si la
UIV está tratando datos biométrico personales de categoría especial en el presente
supuesto, desde cuando y por qué cambios ha atravesado el tratamiento realizado, y,
por ende, si ha incumplido las obligaciones a las que se refiere el presente
procedimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/225

La universidad, tras requerir ampliación de plazo y copia de las dos diligencias
expedidas, que le fueron entregadas, contestó al requerimiento de prueba con fecha
de 6-2-25, aportando 3 documentos más y realizando alegaciones al respecto de los
mismos. Estos 3 documentos, a los que hace referencia el antecedente de hecho
décimo cuarto, son los siguientes:

o DOC 1. Contratos y adendas suscritos con ***EMPRESA.2, que según la UIV
“estaban vigentes a 25-4-21”
o DOC 2. Informe del fabricante ***EMPRESA.2 sobre las modalidades del
programa ***APLICACIÓN.1 contratadas por la UIV del 30 de enero de 2025.
o DOC 3. Otros manuales de formación del programa, versiones 2020 y 2022.

Con fecha de 26 de febrero de 2025 se presenta un nuevo escrito de alegaciones al
acuerdo de inicio por parte de B.B.B., actuando en nombre y representación de la UIV,
en el que se señala que como consecuencia de la producción de hechos nuevos se
formulan nuevas alegaciones solicitando el archivo del expediente, si bien no se
acompaña documento alguno a este escrito.

Todos estos documentos aportados en los diferentes escritos presentados por la UIV
se admitieron como prueba en el Fundamento de Derecho III de la propuesta de
resolución, y se unieron al resto de los aportados y actuaciones practicadas por esta
administración.

Dichos medios de prueba han sido valorados por la propuesta de resolución de
acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de
Enjuiciamiento Civil, fijando como probados los siguientes hechos controvertidos del
procedimiento que se consideran relevantes para determinar la responsabilidad de la
UIV en la comisión de las infracciones que se le imputan, cuales son:

o La descripción del tratamiento realizado por la UIV, concretando el ciclo de vida
del tratamiento, con las fechas de contratación e implantación de cada una de
las modalidades del programa ***APLICACIÓN.1.

o La descripción del funcionamiento y características técnicas de las diversas
modalidades del programa ***APLICACIÓN.1 que fueron aplicadas por la UIV.

o La cuestión referida al almacenamiento de las plantillas biométricas por el
programa ***APLICACIÓN.1.

Una vez practicarse y valorarse la prueba en la Propuesta de Resolución, el escrito de
alegaciones frente a la propuesta de resolución del expediente acompaña 3
documentos:

o Documento 1. Informe del Centro Criptográfico Nacional de diciembre de 2024
sobre Tecnologías Biométricas Seguras para el Control de Acceso.

o Documento 2. Resolución de procedimiento sancionador núm. PS 41/2022,
referente a la Fundación para la Universidad Oberta de Catalunya (en adelante
FUOC), de la Autoridad Catalana de Protección de Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/225

o Documento 3. Informe TESLA “D5.3 – Instruments technical description
and development scheduling” de 29/07/2016. En idioma inglés, sin acompañar
la traducción al español.

Sin embargo, estos 3 documentos que no se refieren a “hechos nuevos”, ni acreditan
hechos relacionados con el presente procedimiento, por tratarse de una Resolución de
la APDCAT, y a dos informes que han sido dictados en relación con cuestiones
jurídicas relacionadas con el presente expediente, por lo que no cabe admitirlos como
prueba de hechos, sino como sustento o refuerzo de su fundamentación jurídica. Por
tanto, no procede incluir los mismos en la valoración de prueba realizada, si bien se
contestará a los argumentos relacionados con éstos y se entrará en su contenido al
contestar a las alegaciones a la Propuesta en el Fundamento V de esta Resolución.

Por tanto, cabe confirmar la valoración de la prueba que fue realizada en la propuesta
de resolución, que se transcribe a continuación:

<<3.1. Descripción y ciclo de vida del tratamiento realizado.

Es un hecho reconocido que en la actualidad la UIV viene utilizando una herramienta
de software llamada ***APLICACIÓN.1, que ha sido desarrollada y contratada por con
la entidad ***EMPRESA.2, para verificar la identidad de los alumnos que se presentan
a los exámenes online de su universidad y monitorizar su examen a los efectos de
controlar el fraude/plagio.

Dicho programa combina técnicas biométricas de reconocimiento facial basadas en
procesos de autenticación que realizan comparaciones 1:1, con tecnologías de
inteligencia artificial que permiten analizar “conductas anómalas” o sospechosas, e
incluso decisiones basadas en tratamientos automatizados que se supervisan por los
profesores.

Y en la actualidad, según se hace constar en el Documento 1.2 aportado en el primer
escrito de respuesta al requerimiento de investigación (y se hace constar en otros
documentos aportados como la EIPD del tratamiento aportada como Documento 5, y
otros documentos como la memoria de verificación de master aportada como
Documento 3.2), queda acreditado que en la actualidad “El funcionamiento de
***APLICACIÓN.1 incluye las siguientes acciones(fases):

o “(…).

A lo largo del procedimiento, la UIV ha aportado documentación y ha realizado
manifestaciones de las que se desprende que el tratamiento de datos personales que
conllevó la implantación del programa ***APLICACIÓN.1 pasó por diversas fases,
realizando la UIV una implantación progresiva de sus diferentes funcionalidades en su
método de evaluación de exámenes cuyas fechas y contenido es necesario reflejar en
la EIPD del tratamiento, debiendo ser acreditadas por la responsable del tratamiento.

No obstante, aun a fecha de hoy, la universidad sigue sin acreditar las fechas de
contratación e implantación de cada una de estas modalidades del programa, ni
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/225

aportar las prescripciones técnicas que podrían realmente acreditar cual era el
funcionamiento técnico de cada una y describir correctamente el ciclo de vida que ha
tenido el tratamiento.

En relación con esta cuestión, la UIV ha aportado la siguiente información incompleta y
contradictoria:

o En el primer escrito de respuesta realizado por la UIV durante la fase de
investigación) la Universidad afirma que: “Es un hecho notorio que sus
exámenes son 100% online y que viene utilizando esta tecnología de
reconocimiento facial para verificar la identidad de los alumnos que participan
en sus exámenes desde el año 2017”.

Junto con su escrito, aporta la siguiente documentación relacionada con el
funcionamiento del programa ***APLICACIÓN.1.

-Los documentos 1.1 a 1.3 sobre información técnica y gráfica suministrada
por el fabricante/suministrador sobre el funcionamiento de
***APLICACIÓN.1. El Doc 1.1 es una presentación power point del programa,
el Doc 1.2 es un documento descriptivo del programa ***APLICACIÓN.1.
Ninguno hace constar ni la fecha ni la modalidad ni pie de firma que acredite
quién ha elaborado el mismo y cuando. Y el Doc 1.3 ya se refiere a la
“Información sobre el funcionamiento de ***APLICACIÓN.4
(***APLICACIÓN.4)”.
-Documento 3.2. Ejemplo de Memoria de Verificación de Master de los
alumnos, cuyo Anexo I describe el sistema de “control de identidad y plagio”.

-Documento 3.6 a 3.8. del primer escrito de respuesta. Aporta los Manuales de
formación que según la UIV fueron entregados a los alumnos, que están
fechados de agosto de 2023. En concreto, el 3.6 se corresponde con el Manual
***APLICACIÓN.4 de agosto de 2023, el 3.7 con el Manual de
***APLICACIÓN.5 de agosto de 2023, y el 3-8 con una guía de instalación de
***APLICACIÓN.10 sin fecha.

-Documento 5 del primer escrito de respuesta. Aporta dos EIPD del tratamiento,
una fechada en septiembre de 2020, y su actualización de julio de 2023, que no
identifican la modalidad de ***APLICACIÓN.1 que está siendo analizada.

o En el segundo requerimiento de investigación, fue requerida para aportar el
contrato de encargo y desarrollo del programa ***APLICACIÓN.1, y esta aportó
únicamente la última adenda del contrato suscrito con ***EMPRESA.2 el 19-12-
22, en cuya cláusula primera se observa que: (I) la relación contractual
originaria data del año 2015 (y no de 2017, como señala la Universidad), (ii) y
que además se habían realizado diversas extensiones y adendas del contrato
en 2020 y 2021 que no se acompañan.

En concreto, la adenda firmada por la UIV con ***EMPRESA.2 el 19-12-22
(misma fecha en que se remite el correo electrónico a los alumnos informando
de que el sistema de monitorización del entorno por doble cámara iba a ser

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/225

obligatorio a partir de los exámenes de enero de 2023), señala que: “La oferta
de ***EMPRESA.2 contempla tres modalidades de servicios:

***APLICACIÓN.4.
***APLICACIÓN.2
***APLICACIÓN.3.

La Universidad indica en este segundo escrito de respuesta que decidió
contratar las modalidades de ***APLICACIÓN.4 y ***APLICACIÓN.2,
descartando la opción ***APLICACIÓN.3, por considerar que no permitía
cumplir con la finalidad del tratamiento por no ser un sistema de verificación
seguro. Y se aportan las facturas que acreditan el pago de los servicios
contratados por los exámenes realizados en el primer semestre de 2023,
indicando que: “Como puede verse en la muestra de facturas que se aporta
como DOCUMENTOS 2, 3 y 4, los servicios contratados y facturados se limitan
al Control de monitor y control biométrico, que aparece en las facturas como
GM y el servicio de vigilancia con cámara externa, que aparece en la factura
como Externa”.

Pero la UIV no acompaña entonces la documentación técnica que acredite cuál
era el funcionamiento técnico de cada modalidad del programa, ni aclara a
partir de qué fechas comenzó con la implantación de éstos.

o Y, posteriormente, en las alegaciones al acuerdo de inicio de 21-5-24 aporta
únicamente el Documento 1, denominado “Informe de ponderación del interés
legítimo”, que fue incluido como una actualización de la EIPD en 2024. Y
solicita se admita a trámite la presentación de un dictamen pericial, que se
presenta finalmente con fecha de 24-7-24, en el que se describe el
funcionamiento de la versión actual del programa ***APLICACIÓN.1, que
coincide con lo indicado en el Documento 1.2, sin indicar qué modalidad se ha
analizado ni desde que fecha lleva implantada.

Dicha documentación se consideró insuficiente para acreditar en qué fechas y qué
versiones del programa se habían puesto en marcha, y cuáles eran las diferencias de
funcionamiento técnico entre los mismos, puesto que:

(i) Por una parte, la Universidad aportaba información comercial
proporcionada por el suministrador del programa sobre el
funcionamiento de la modalidad ***APLICACIÓN.4, pero no se
aportaban las prescripciones técnicas del mismo, ni ninguna otra
documentación técnica sobre la modalidad ***APLICACIÓN.2, sino
sobre otra modalidad, denominada ***APLICACIÓN.5 que parecía
incluir las prestaciones de ***APLICACIÓN.4 y ***APLICACIÓN.2, sin
dar ninguna explicación al respecto. Modalidad “***APLICACIÓN.5” que
no se menciona en el contrato y las facturas aportadas.
(ii) Por otra parte, únicamente se aportó la última adenda del contrato de
servicio y encargo suscrito con ***EMPRESA.2 para la implantación del
sistema de verificación de identidad por RF, el 19-12-22, pero no se
habían aportado ni el contrato original de servicio contratado en 2015, ni

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/225

ninguna otra de las adendas o extensiones que se mencionaban en la
misma.
(iii) Por último, se aportaban dos manuales de formación fechados en
agosto de 2023, referidos a las versiones ***APLICACIÓN.4 y
***APLICACIÓN.5, sin señalar en qué fecha fueron puestos a
disposición los manuales de formación de cada versión aplicada.

Al objeto de poder determinar cuál fue el ciclo de vida del tratamiento y su descripción,
así como la duración de las infracciones imputadas, el acuerdo de prueba dictado
requirió a la UIV para que: (i) aportase las prescripciones técnicas de todas las
versiones del programa ***APLICACIÓN.1 que hubiera puesto en funcionamiento, y
todos los contratos suscritos con ***EMPRESA.2 que se mencionan en la adenda de
2022 (ii) y aclare a partir de qué fechas puso en funcionamiento las diferentes
versiones del programa, a que se correspondía la versión ***APLICACIÓN.5 que no
aparecía en el contrato, pero sí en los Manuales de Formación; (iii) y por otra parte,
que aclarase también cuándo había puesto a disposición de los alumnos las diferentes
versiones de los Manuales de Formación del Programa.

Con fecha de 6-2-25, la Universidad ha contestado a tal requerimiento realizado en el
acuerdo de prueba aportando los contratos y adendas suscritos con ***EMPRESA.2
que se mencionaban en dicha adenda de 19-12-22 como Documento 1, adjuntando un
informe de emitido por el suministrador del programa, ***EMPRESA.2, como
Documento 2, y dos Manuales de Formación del programa fechados en 2020 y 2022
como Documento 3, si bien indica que desconoce en qué fecha los puso a disposición
de los alumnos.

El informe emitido por ***EMPRESA.2 el 30 de enero de 2025, dice expresamente que
“complementa al informe presentado el 2024”, y que tiene por objeto “facilitar de forma
completa y precisa a la AEPD la comprensión del funcionamiento real del sistema
utilizado por la VIU durante el período objeto del referido expediente”. Y contiene
afirmaciones que se contradicen frontalmente con las manifestaciones y
documentación aportada anteriormente por la UIV:

o En cuanto a las versiones del programa el informe señala que únicamente
existen 3 versiones (***APLICACIÓN.6, ***APLICACIÓN.4 Y
***APLICACIÓN.7):

“***APLICACIÓN.6
***APLICACIÓN.4
***APLICACIÓN.7”

o El informe no niega que puedan haberse comercializado estos mismos planes
con otras denominaciones, aunque no lo justifica: “Para entender mejor esta
cuestión, es importante explicar que ***EMPRESA.2 ofrece los tres planes que
se refieren a continuación, sin que se comercialicen planes con las
denominaciones “***APLICACIÓN.2” o “***APLICACIÓN.5” que se indican en
el acuerdo de la AEPD, las cuales probablemente vengan referidas a la versión
***APLICACIÓN.7”,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/225

o Además, se insiste varias veces en que el programa no almacena el dato
biométrico generado al realizar el RF de los alumnos que participan en el
examen, cuestión a la que haremos referencia posteriormente.

o Se señala que el programa no dispone de prescripciones técnicas más allá de
lo publicado en la web de ***EMPRESA.2 -la cual no se aporta- y se incluye
una descripción del funcionamiento técnico del programa que, según ésta, es
común a todas las versiones.

o Por último, se señala que la UIV había contratado la versión ***APLICACIÓN.4
y que a partir de 2018 “comenzó su evolución” hacia ***APLICACIÓN.7, que es
la versión que incluyó la monitorización mediante doble cámara, lo que se
contradice con toda la información aportada hasta el momento, y las evidencias
que constan en la denuncia.

Como consecuencia de ello, la UIV afirma en su último escrito de 6-2-25 que debe
corregir varios aspectos que se derivan del contenido del informe de ***EMPRESA.2,
respecto a lo que anteriormente había manifestado en sus anteriores escritos, y
concluye que:
“i. Que ***EMPRESA.2 únicamente dispone de 3 planes distintos, sin que
la elección de uno u otro plan afecte a las prescripciones técnicas sobre el
tratamiento de datos biométricos.
ii. Que las referencias a las versiones “***APLICACIÓN.2” o
“***APLICACIÓN.5” deben entenderse referidas a la versión
***APLICACIÓN.7, que incorpora la supervisión del entorno del usuario.
iii. Que desde el año 2018 —año ya prescrito— VIU utiliza la versión
***APLICACIÓN.7. Con anterioridad a esa fecha se hacía uso de la
versión ***APLICACIÓN.4.
iv. Que la versión ***APLICACIÓN.7, conforme a sus prescripciones
técnicas, no lleva a cabo ningún tipo de almacenamiento de los datos
biométricos, dando cumplimiento a la normativa sobre protección de
datos.”

No obstante, estas nuevas manifestaciones realizadas por la UIV no vienen
acompañadas de un sustrato documental que acredite que éstas fueron las fechas y
nombres de las versiones contratadas, o que las prescripciones técnicas del programa
sean iguales y coincidan con lo que señala el informe que ***EMPRESA.2 ha emitido
ad hoc para contestar a esta Agencia. El único soporte documental es el propio
informe, que no viene acompañado de evidencias ni datos objetivos que permitan
comprobar la certeza de las afirmaciones que se realizan en el mismo.

Por otra parte, las fechas y denominaciones del programa que constan en el contrato,
extensiones y adendas aportadas junto con dicho escrito de 6-2-25, no coinciden
tampoco con las señaladas en el informe de ***EMPRESA.2, puesto que:

- De acuerdo con el contrato originario de 27 de mayo de 2015 hace
referencia a la contratación de servicio del programa de autenticación por
reconocimiento facial “***APLICACIÓN.1”. En el Anexo I del contrato señala
cuales eran los “requisitos técnicos” del programa contratado, en los que se
hace una breve descripción del funcionamiento del programa; de la que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/225

deduce que la primera versión del programa que se contrató en el año 2015,
que entonces se denominaba “***APLICACIÓN.1”, se corresponde con la
modalidad actualmente denominada como ***APLICACIÓN.1 +
(***APLICACIÓN.4):

“(…)

- En la extensión del contrato de 18-3-20, se observa que ya se mencionan
los precios diferentes de tres modalidades contractuales: ***APLICACIÓN.1,
***APLICACIÓN.1+, y “***APLICACIÓN.9”, por lo que se tiene por
acreditado que a partir de 18-3-20 se contrató por primera vez el sistema de
monitorización del entorno con el nombre de ***APLICACIÓN.8, combinado
con los dos anteriores. Y que en conjunto todo ello se correspondía con el
plan ***APLICACIÓN.7 al que se refiere la fabricante/suministrador.

- En la adenda modificativa de 14-6-21, aparecen ya los precios de las
modalidades ***APLICACIÓN.1 +, ***APLICACIÓN.2, y ***APLICACIÓN.3,
que son las mismas modalidades que se hacen constar en la adenda de 19-
12-22 que fue aportada primeramente por la UIV. Por tanto, queda probado,
que a partir de 14-6-21 de ya era posible la contratación de estas 3
versiones, que se han mantenido en la actualidad.

- La adenda modificativa de 20-12-21, tiene idéntico contenido que la
anterior, si bien existen tres firmas en lugar de dos emitidas
electrónicamente, siendo la última firma de 21-1-22. No se explica por la
Universidad el porqué de la firma de dos adendas idénticas ni se aportan las
facturas que acrediten qué servicios se abonaron durante dicho periodo.

-La adenda modificativa de 19-12-22 se refiere a las mismas modalidades
contratadas desde 14-6-21. No obstante, a diferencia de los contratos
anteriores, la universidad si aporta las facturas que acreditan que las
modalidades ***APLICACIÓN.4 y ***APLICACIÓN.2 correspondientes a los
exámenes realizados en el primer semestre de 2023 fueron puestas en
funcionamiento.

De lo expuesto en el informe del suministrador del programa y los contratos suscritos
por la UIV se deduce que:

o En primer lugar, la denominación de los planes que fueron desarrollados por el
fabricante/suministrador (***APLICACIÓN.6, ***APLICACIÓN.4, y
***APLICACIÓN.7) no era la misma que se posteriormente se empleó al fijar
los nombres de las modalidades contratadas, ni la que se hacía constar en los
documentos informativos o comerciales que la fabricante/suministrador del
programa proporcionó a la UIV, en los que no aparece mención alguna a
***APLICACIÓN.7, sino a ***APLICACIÓN.2 (…), y a ***APLICACIÓN.5
(manuales de formación).

o Que de acuerdo con los contratos y adendas aportados no es cierto que la UIV
contratase en 2017 la versión inicial del programa de reconocimiento facial de
***APLICACIÓN.1 (***APLICACIÓN.1, o ***APLICACIÓN.4) y que a partir de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/225

2018 la UIV comenzase a utilizar la versión PRO como señala ***EMPRESA.2.
Puesto que estas fechas no coinciden con las que reflejan los documentos
contractuales suscritos entre las partes, ni con las manifestaciones del informe
de ANECA emitido en 2019, que son las que deben tenerse por probadas en
este procedimiento (hecho probado primero), considerándose que la versión
inicial de ***APLICACIÓN.1 se contrató en 2015, y la evolución a
***APLICACIÓN.2/***APLICACIÓN.7 o ***APLICACIÓN.5 se produjo a partir
del 18-3-20, según consta en los contratos aportados.

o Así pues, tenemos que desde 18-3-20 se pactaron dos modalidades diferentes
(***APLICACIÓN.4 y ***APLICACIÓN.8 o ***APLICACIÓN.2) para reflejar los
precios diferentes del plan ***APLICACIÓN.7 que la UIV contrató a partir de 18-
3-20, lo que se ha mantenido en la actualidad. Esto es, se firma un contrato por
el Plan PRO, en el que se distinguen los precios para abonar la modalidad
***APLICACIÓN.4 (versión que incluye las herramientas iniciales de
monitorización por cámara web, escritorio y grabaciones), y los precios para
abonar la modalidad ***APLICACIÓN.2 (que incluye solo la monitorización del
entorno). Y esto se ha mantenido hasta la actualidad, a la vista de la segunda
adenda firmada, si bien cambiando los precios abonados y/o las
denominaciones del programa.

En definitiva, de la documentación obrante en este expediente puede tenerse por
acreditado que, tal y como se hace constar en los hechos probados primero y
segundo:

 La UIV contrató la primera versión de ***APLICACIÓN.1, que
empleaba un sistema de reconocimiento facial como método de
autenticación de los alumnos que participasen en sus exámenes, e incluía la
monitorización del escritorio, monitorización a través de la webcam y
grabación de audio; el 27-5-2015 y no en el año 2017.

 A partir de 18-3-20, la UIV extendió el objeto del contrato,
manteniendo las prestaciones anteriores -bajo una modalidad que pasó a
denominarse ***APLICACIÓN.4-, y contratando la nueva modalidad
denominada inicialmente como ***APLICACIÓN.8, que incluía el sistema de
monitorización del entorno a través de doble cámara. La combinación de
ambas modalidades contratadas se denominaba, según el
fabricante/suministrador, ***APLICACIÓN.7, y consta en los manuales de
formación como ***APLICACIÓN.5.

 A partir de 14-6-21, se cambió la denominación de
***APLICACIÓN.8 a ***APLICACIÓN.2 (monitorización del entorno a través
de doble cámara).

 En relación con el curso académico 2022-23 al que se refiere el
presente expediente, según la evidencias aportadas con la denuncia, que
coinciden con lo que consta en las facturas aportadas por la universidad y la
adenda contractual suscrita el 19-12-22, consta que por decisión del consejo
de gobierno de mayo de 2022, la Universidad contrató las modalidades
***APLICACIÓN.4 Y ***APLICACIÓN.2, descartando la ***APLICACIÓN.3,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/225

y comunicó a los alumnos con fecha de 19-12-22 que iba a ser obligatoria la
monitorización del entorno mediante doble cámara a partir de los exámenes
celebrados el 16-1-23.

 Por último, consta acreditado que los exámenes realizados durante el
primer semestre de 2023 se realizaron utilizando el programa
***APLICACIÓN.1 en sus modalidades ***APLICACIÓN.4 y
***APLICACIÓN.2 (Plan ***APLICACIÓN.7 según el
fabricante/suministrador y ***APLICACIÓN.5 según los manuales de
formación que fueron entregados a los alumnos en el citado correo de 19-
12-22).

No obstante, siendo las obligaciones cuyo incumplimiento se analiza en el presente
procedimiento exigibles únicamente desde que la entrada en vigor del RGPD, que fue
el 23-5-2018, se considera que la duración de las infracciones imputadas:

o Debe computarse desde el día siguiente a esta entrada en vigor, siendo
indiferente a efectos de determinar la responsabilidad en el presente
procedimiento si el inicio del tratamiento se produjo en la fecha que señala el
contrato originario (2015) o la que indica la Universidad en sus escritos (2017),
puesto que el único hecho probado relevante en este sentido es que, en
cualquier caso, a la entrada en vigor del RGPD, estaba ya en funcionamiento el
sistema de reconocimiento facial para verificar la identidad de los alumnos en
los exámenes online que realizaba la Universidad, y a partir de entonces es
cuando la UIV debió cumplir con las obligaciones exigibles al tratamiento de
datos biométricos de categoría especial.

o Y por otra parte, a la vista del informe del fabricante/suministrador del
programa aportado el 6-2-25, se tiene por acreditado también que todas las
versiones del programa contratadas realizaban el reconocimiento facial
empleando la cámara web del escritorio, y no la del entorno. Por lo que es
indiferente en qué fecha exacta comenzó a emplearse el sistema de doble
cámara a los efectos de fijar la duración de las infracciones que se imputan en
este expediente (art 9 y art 5.1.c) del RGPD), toda vez que mediante la misma
no se realizaba tratamiento de datos biométricos de categoría especial.

Todo ello sin perjuicio de que ello afecte a la necesidad de que el ciclo de vida del
tratamiento que consta descrito en las EIPD y sus actualizaciones deba siempre
reflejar la realidad de lo sucedido y describir todos los cambios sufridos en la
descripción y finalidades del tratamiento, lo que no sucede en el supuesto presente a
la vista de las EIPDS elaboradas, de acuerdo con lo que consta acreditado en el hecho
probado quinto, toda vez que, una vez analizadas las mismas se observa que no se
describieron correctamente los tratamientos que habían sido contratados, toda vez que
consta que:

o La UIV realizó una primera EIPD del tratamiento de “Reconocimiento facial y
control del escritorio y del entorno en exámenes online” en septiembre de 2020,
que: (i) incluía las funcionalidades de la última versión del programa
***APLICACIÓN.1 contratada a partir de 18-3-20 (***APLICACIÓN.7/
***APLICACIÓN.2/***APLICACIÓN.5), puesto que mencionaba la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/225

monitorización del escritorio y la del entorno a través de la doble cámara en la
descripción del tratamiento, y le dedicaba un apartado (ii) que señaló desde el
inicio que las acciones de tratamiento consistentes en el alta del alumno y la
realización del examen trataban el patrón facial del alumno.

o Y, posteriormente, la UIV aprobó dos actualizaciones de dicha EIPD en 2023 y
2024 al objeto de completar los datos que no se habían hecho constar en la
EIPD originaria, modificando el nombre del tratamiento, su descripción,
finalidades, normativa aplicable, análisis de cuestiones jurídicas, e incluyendo
la completa descripción de las operaciones de monitorización del examen que
no se incluyeron anteriormente, pero que venían realizándose desde 2020.

Ha quedado patente la actuación negligente de la universidad al implantar el
tratamiento toda vez que de los requerimientos realizados y respuestas de la misma
ha quedado patente que ésta no dispone de un adecuado control de la documentación
del cumplimiento de sus obligaciones, toda vez que que la práctica de la prueba ha
puesto de manifiesto que la UIV desconoce, incluso, las modalidades del programa
que ha contratado, en qué fecha las ha implantado, así como las versiones y fechas en
las que ha entregado a sus alumnos el manual de formación del programa que debían
emplear para poder realizar el examen, y no reflejó adecuadamente y con anterioridad
a la implantación del sistema, y cuáles eran las operaciones de tratamiento que se
estaban llevando a cabo en realidad cuando elaboró su primera EIPD de 2020,
corrigiendo esta situación en la actualización de 2023. Y todavía, al contestar a la fase
de prueba, manifiestan que han puesto en funcionamiento un programa sin disponer
de las prescripciones técnicas del suministrador que desarrolló el mismo, como
veremos seguidamente.

3.2. Sobre las características técnicas y el funcionamiento del programa
***APLICACIÓN.1 empleado por la UIV.

Se tienen por acreditadas las siguientes características técnicas del software
***APLICACIÓN.1 empleado por la UIV para verificar la identidad de los alumnos que
participan en sus exámenes online, que se hacen constar en el hecho probado
primero, y sexto y se basan en la documentación aportada por la Universidad.

o En primer lugar, es un hecho reconocido por la UIV y que se hace constar en el
Documento 1.2, así como en la EIPD de 2020 y sus actualizaciones de 2023 y
2024, que el funcionamiento técnico de ***APLICACIÓN.1 en todas sus
versiones o modalidades se articula en tres fases (aceptación de términos y
condiciones durante la fase de registro del alumno, registro de identidad al
darse de alta del sistema, y la monitorización de actividades del alumno
durante el examen).

o Pese a que la UIV ha contratado diversas modalidades del programa de
autenticación de la identidad ***APLICACIÓN.1, la diferencia esencial entre las
mismas, como se ha dicho en el apartado 3.1, es la siguiente:

(i) Mientras que las versiones iniciales contratadas el 27-5-2015,
denominadas como ***APLICACIÓN.1, o ***APLICACIÓN.4,
monitorizan el examen a través de las tres primeras herramientas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/225

descritas en el Documento 1.2 “-Monitorización a través de la webcam
del equipo; -Monitorización de escritorio: y -Grabación de audio”.

(i) Las posteriores versiones del plan ***APLICACIÓN.7 contratadas a
partir de 2020 (***APLICACIÓN.5, que incluía las modalidades
contractuales ***APLICACIÓN.4 y ***APLICACIÓN.2), incluía como
única novedad respectoa las anteriores la-“Monitorización del entorno a
través de una segunda cámara mencionada en el citado Documento
1.2: mediante el uso de teléfono móvil como cámara externa, el
software es capaz de monitorizar el entorno del estudiante, aportando
un mejor ángulo de visibilidad, siendo capaz de detectar la presencia de
otras personas o el uso de elementos no permitidos por parte del
estudiante. El análisis de estas imágenes se realiza por medio de
algoritmos de IA sin aplicar análisis biométrico”.

o Cabe aclarar que nunca ha sido controvertido el hecho de que el sistema
empleado por ***APLICACIÓN.1 para verificar la identidad del alumno se
basara en un sistema de autenticación basado en comparaciones 1:1, y no en
comparaciones 1:N, puesto que ello consta en la documentación técnica
aportada (Documento 1), y fue tenido en cuenta desde el inicio al fijar la
graduación de la sanción inicial, partiéndose de una cuantía menor de la que
hubiera correspondido de haberse basado el sistema en comparaciones 1.N.
Tal y como se señalará al contestar a las alegaciones.

o Por otra parte, en el hecho probado cuarto se tiene por acreditado que a fecha
de interposición de la denuncia la UIV disponía del siguiente sistema de
“control de identidad y plagio” de los exámenes, que se aplicaba al proceso de
evaluación de los alumnos de forma obligatoria (sin posibilidad de otras
alternativas de evaluación) que de acuerdo con lo señalado en la actualización
de la EIPD de julio de 2023 (Doc.5), Anexo I de la Memoria de Verificación de
Máster aportada como Documento 3.8, y en el Manual de Formación de
***APLICACIÓN.5 aportado como Documento 3.7 constaba de dos fases y era
el siguiente:

A) Fase 1: Proceso Onboarding: Se corresponde con el primer
acceso al campus virtual y dirige “al aseguramiento de la identidad y
para dar cumplimiento a la garantía de que el sujeto que se matricula
es el que efectivamente accede al campus y se evalúa”.

Consta en la documentación, literalmente, que durante el alta en el
campus virtual “se lleva a cabo el proceso para autenticar su identidad
con sistema de reconocimiento biométrico y contraste con el DNI”.
Pero lo cierto es que la documentación parte de un concepto erróneo
de dato biométrico, dado que el proceso que se está describiendo a
continuación no es realmente un procesamiento biométrico que se
realice mediante reconocimiento facial del alumno, sino que, de
acuerdo con la memoria es el siguiente:

“(…)”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/225

Así lo aclara posteriormente el informe de peritaje aportado en el
procedimiento, que señala que durante el proceso de registro del alumno no
se generan patrones biométricos, como veremos posteriormente.

B) (…)
Donde se entremezclan dos sub-fases (alta del alumno en el examen
que se realiza en ***APLICACIÓN.1 una única vez o “enrollement”, y
realización del examen), y se realizan afirmaciones de las que se
deduce que el programa genera una plantilla biométrica (modelo
matemático personal) que después se compara con la obtenida al
realizar el reconocimiento facial durante el examen. Lo que luego ha
negado la UIV, aportando dos informes que rectifican estas
afirmaciones.
Así pues, en la memoria de verificación de máster publicada por la
UIV en su web, a la que hace referencia el hecho probado cuarto,
consta la siguiente descripción de la fase 2 de acreditación de autoría
del examen de la que se deduce que el programa genera un patrón
facial inicial del alumno con el que se realizan las comparaciones del
patrón facial obtenido por el programa de las imágenes captadas
durante el examen. Se señala expresamente que:
“(…)”.

o De la descripción del sistema realizada anteriormente y la contenida en la EIPD
de 2020 y sus actualizaciones se deduce que, tal y como confirman el informe
pericial de 23 de julio de 2024 y el informe del suministrador ***EMPRESA.2 de
30 de enero de 2025 a los que nos referiremos posteriormente, no existe duda
de que la herramienta ***APLICACIÓN.1 genera patrones biométricos (a los
que denomina modelo matemático personal, algoritmo, o patrones faciales
según los casos) durante la fase 2 del sistema de control de identidad y plagio
de los exámenes.

Aunque existen divergencias entre el proceso descrito la EIPD y el proceso de
control de identidad y plagio cuya información se publica en la web de la UIV, lo
cierto es que en relación con la cuestión controvertida del almacenamiento del
patrón biométrico lo que sí coincide y es indubitado es que el programa
***APLICACIÓN.1:

o La finalidad del sistema de reconocimiento facial utilizado por
***APLICACIÓN.1 es la identificación unívoca del alumno puesto que está
dirigida a comprobar que éste es el que está realizando el examen desde
su comienzo hasta el final.

o Y es también indubitado el hecho de que para cumplir con dicha finalidad, la
herramienta genera patrones biométricos de forma continua a lo largo de
todo el examen y cada dos segundos, comparando en el momento las
imágenes captadas por la web cam con las registradas previamente por el
alumno.

o Por otra parte, se tiene por acreditado también, ante la falta de prueba en
contrario por aplicación del Principio de Presunción de Inocencia, y más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/225

concretamente, del Principio in dubio pro reo, que es cierta la manifestación
contenida en el informe de ***EMPRESA.2 de 30 de enero de 2025 relativa a
que el procesamiento técnico de los datos biométricos de los alumnos con la
finalidad de controlar su identidad se realiza de la misma forma en todas las
modalidades de ***APLICACIÓN.1, sin que se hayan producido cambios al
incluir la monitorización del entorno a través de doble cámara: Así se
manifiesta en los siguientes fragmentos del informe de ***EMPRESA.2:

“Como se puede comprobar, la transición de un plan a otro implica
únicamente la incorporación de nuevas herramientas dentro del proceso
de monitorización, sin que ello afecte al funcionamiento esencial del
sistema. En concreto, desde 2018, la evolución en el uso de
***APLICACIÓN.1 por parte de VIU ha consistido en el paso de
***APLICACIÓN.4 a ***APLICACIÓN.7. Sin embargo, en ambos
casos, y según se referirá a continuación, la monitorización de los
estudiantes mediante la webcam del ordenador se mantiene sin
cambios: no se almacenan en ningún momento los datos biométrícos y
sólo se procesan durante el tiempo estrictamente necesario (un tiempo
máximo de 2 segundos) para autentificar a los estudiantes.(…)”

“(…) Por todo ello, podemos afirmar con total certeza que el sistema ha
funcionado siempre de la misma manera en VIU en lo que respecta al
tratamiento de datos biométricos: sin almacenarlos y procesándolos
únicamente durante el tiempo estrictamente necesario.”

o Por último, se tiene por acreditado que, tal y como señala el informe de
***EMPRESA.2 de 30 de enero de 2025: el proceso de verificación de
identidad del alumno mediante reconocimiento facial se realiza únicamente a
través de la web cam del equipo, y no a través de la segunda cámara (teléfono
móvil o tablet) que monitoriza el entorno.

Señala el informe de ***EMPRESA.2: “Por ello, queremos dejar claro que la
utilización de datos biométricos no se ve afectada en ningún momento por la
elección de un plan u otro. La única diferencia entre ambos es la incorporación
de una segunda cámara (generalmente un teléfono móvil) para mejorar la
supervisión del entorno. No obstante, en ambos planes, la monitorización del
estudiante sigue realizándose a través de la webcam del ordenador, que es
donde intervienen los datos biométricos”.

Pese a no acompañarse sustrato documental de esta afirmación, se tiene por
acreditada la misma, dado que coincide con lo descrito en el Documento 1.2 y
las EIPDs aportadas, que al describir las 4 herramientas de monitorización del
programa ***APLICACIÓN.1 hacen referencia a que el proceso de verificación
de identidad del alumno a través de las comparaciones 1:1 y fotografías
tomadas se realiza únicamente dentro de la herramienta de “Monitorización a
través de la webcam del equipo”.

3.3. En especial, sobre el almacenamiento de las plantillas o patrones biométricos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/225

Una cuestión esencial planteada por la UIV desde el comienzo de las actuaciones, que
se reitera en todos sus escritos y pretende ser acreditada mediante los dos informes
aportados durante la fase de prueba es que si el programa contratado almacena o no
las plantillas biométricas generadas por el programa ***APLICACIÓN.1, lo que se
niega por la UIV.

Según el proceso descrito en la EIPD del tratamiento, así como en los documentos
publicados por la UIV como la Memoria de Máster citada, y los Manuales de formación
que la misma dice haber entregado a los alumnos, el programa ***APLICACIÓN.1
trata patrones faciales que se utilizan para realizar la verificación de identidad, sin que
se haga constar el hecho de que no se almacenen los patrones, ni el hecho alegado
posteriormente de que el patrón se genera en el momento al comparar las imágenes
durante el examen cada vez que se realiza la verificación de identidad durante el
examen. Recordemos que la memoria de máster cita literalmente lo siguiente (el
subrayado es nuestro):

“(…)”.

Por tanto, en este último párrafo, la información publicada por la UIV está señalando
que durante el alta en el examen o enrollement se genera un “modelo matemático
personal” que se podría corresponder con lo que se define como plantilla o patrón
biométrico obtenido de las 3 imágenes que se captan al darse de alta. Y que durante el
examen, se captan imágenes que se comparan con el “patrón biométrico inicial del
estudiante”, y de ello se deduce inicialmente, que dicho patrón biométrico inicial se
crea durante la fase de alta y está almacenado dentro del programa
***APLICACIÓN.1.

Esta interpretación se confirma por la descripción sistemática de operaciones del
tratamiento realizada en la EIPD de 2020, donde se señala que entre los datos
personales tratados por ***APLICACIÓN.1 está el “patrón facial del alumno” y se
indica que se sub-encargan a la misma las siguientes acciones: (i) ***APLICACIÓN.1
(Registro Plataforma): se indica que “para realizar el registro, el alumno debe realizar
3 fotografías de su rostro (fotografía frontal, fotografía del perfil izquierdo y fotografía
del perfil derecho), y la Plataforma le otorga un código identificador de usuario”; (ii) y
***APLICACIÓN.1 (Realización de un examen) consta que se tratan el patrón facial y
las expresiones faciales de la forma siguiente: “Se autentifica al usuario facialmente a
través del código identificador que la Plataforma asignó al usuario en el registro. En
este caso se autentifica al usuario comparando el patrón facial del interesado con el
asociado al ID (one to one). Una vez el alumno accede, y realiza el examen se lleva a
cabo un control para evitar el fraude o la copia durante el mismo (revisando si existen
comportamientos o expresiones faciales anómalas, etc.)” La actualización de la EIPD
de 2023 confirma este aspecto, y añade que en la fase de monitorización por cámara
web encargada a ***APLICACIÓN.1, también se trata el patrón facial.

Sin embargo, esta se convirtió en una cuestión controvertida del procedimiento cuando
la UIV alegó que no se almacenaban los patrones faciales, en base a lo que indica el
citado documento 1.2 sobre especificaciones técnicas de ***APLICACIÓN.1 -del que
no consta fecha ni pie de firma por lo que se desconoce si fue emitido por el
desarrollador del programa o la propia UIV y en qué fecha se hizo-, que señala que:
“No se almacenan datos biométricos. ***EMPRESA.2 siempre ha tenido presentes
todos los conceptos relacionados con la minimización de riesgos y protección de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/225

privacidad de los usuarios. Es por ello, que el sistema se ha diseñado para trabajar sin
almacenar ningún dato biométrico. Cuando el sistema ***APLICACIÓN.1 recibe una
imagen, extrae los datos biométricos de la misma y del registro de ese usuario y los
compara obteniendo un resultado. Esos datos se destruyen, por lo que no quedan
almacenados y el tiempo en el que se encuentran en el sistema es de muy pocos
segundos.”

Con objeto de acreditar esta cuestión, la UIV ha aportado los siguientes informes
emitidos por terceras empresas (una consultaría informática y por el suministrador del
programa), que señalan lo siguiente:

o En primer lugar, se aporta con fecha de 24 de julio de 2024, un informe pericial
emitido por A.A.A. de la consultoría informática ***EMPRESA.3 con fecha de
23 de julio de 2023, compuesto de 3 documentos, indicándose en el primero de
ellos, que es el informe pericial propiamente dicho, lo siguiente:

“El objetivo del peritaje ha sido la verificación del cumplimiento de los requisitos
de seguridad y privacidad establecidos por la Agencia Española de Protección
de Datos (AEPD) y los criterios específicos definidos por VIU (***EMPRESA.3)
para la utilización de la herramienta en los exámenes online de la VIU
(Universidad Internacional de Valencia) en relación a la captura, procesado,
análisis automático y almacenamiento de imágenes faciales de los alumnos
durante el proceso de registro de los alumnos, realización de examen y
verificación de resultados. declarando la conformidad del sistema implantado
por la Universidad”.

Tras realizar la prueba de darse de alta de un examen y someterse a la
realización de un examen a través del sistema ***APLICACIÓN.1, el perito
verifica los siguientes puntos que son relevantes en relación con los datos
biométricos:

o “En el momento del registro no se crea un patrón biométrico del
alumno. Únicamente se registra la imagen a través de las fotografías
(selfies) que realiza el propio alumno.
o ***APLICACIÓN.1 utiliza un código numérico para el tratamiento
efímero de los datos biométricos.
o La aplicación ***APLICACIÓN.1 no almacena el patrón biométrico del
alumno.
o El patrón biométrico se crea y se destruye en el momento de la
verificación que se realiza durante el examen.
o La verificación se realiza en tiempo real comparando el patrón
biométrico creado en ese momento a partir de la foto realizada por el
alumno en el momento de registro y el patrón biométrico creado en ese
momento a partir de la captura realizada durante el examen.
o El tratamiento de los datos biométricos tiene una duración máxima de 2
segundos en cada verificación”.

El informe pericial adjunta dos documentos que se refieren a esta misma
cuestión con mayor detalle:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/225

1. Informe de peritaje herramienta ***APLICACIÓN.1, con la
descripción de las pruebas realizadas y los resultados obtenidos.

En relación con el almacenamiento de datos, consta que el software
dispone de un Almacén de Imágenes (que no son datos biométricos),
pero también se comprueba que existe un almacén de metadatos en el
que se almacena un código alfanumérico del sistema que podría
coincidir con el patrón biométrico de los alumnos, manifestando el
informe lo siguiente: “Los metadatos del proceso de registro se
almacenan en el Almacén de Metadatos REG-D, con una referencia a la
imagen (para localizarla en el almacén de imágenes) y un código
numérico que identifica al alumno, junto con la entidad (VIU) y otro
código alfanumérico para relacionarlo con el código de
examen/actividad. Los metadatos no incluyen datos biométricos ni
identificativos” Y como prueba de ello se aporta la EVID007.
2. Lista de evidencias recopiladas durante las pruebas: En el punto
1.2.7. EVI007 - Metadatos de registro sin evidencia de creación de
patrones biométricos, se señala que:

“Los códigos de alumno incluyen únicamente un código genérico de
entidad (correspondiente al ***EMPRESA.3) y un código alfanumérico
de alumno. No se observan datos identificativos del alumno.
Hash del código de alumno:
4c427a7ca3643e28096785e784ce6347e1ee5903ac3b63906fc67d969fb
bac87”.

Por tanto, pese a que el peritaje afirma que este código no es un patrón
biométrico, lo cierto es que el informe no aporta un detalle ni datos objetivos
que permitan constatar que el hash del código del alumno al que se refiere
esta evidencia no se corresponde con el patrón biométrico del mismo. Toda
vez que no se señala ni se justifica cómo se forma dicho código y a qué
corresponde exactamente, qué información pretende asociar al alumno y su
examen.

o Posteriormente, la UIV aporta un informe del suministrador del programa
***APLICACIÓN.1, la entidad ***EMPRESA.2, de 30 de enero de 2025, que
fue emitido expresamente para contestar al requerimiento de prueba realizado
en el presente procedimiento, cuyo apartado tercero se dedica a esta cuestión,
y señala lo siguiente:

“3. No se almacenan los datos biométricos.
Tal y como se detalló en los informes presentados en 2024, el sistema de
***APLICACIÓN.1 ha sido diseñado desde sus inicios bajo los principios
de privacidad por defecto diseño, lo que garantiza que los datos
biométricos no se almacenan en ningún momento en cualquier tipo de
sistema.

Aunque este proceso ya ha sido explicado previamente, a continuación,
se nuevamente el procedimiento de captura y análisis de imágenes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/225

a. (…).

Dado este funcionamiento, y como se ha mencionado, los datos
biométricos sólo se utilizan de forma efímera durante el proceso de
análisis, con una duración máxima del tratamiento de 2 segundos por
imagen. Es importante destacar que estos datos ni siquiera pueden
considerarse eliminados, ya que nunca llegan a almacenarse en el
sistema.(…)”

Como ya se ha dicho, dicho informe del suministrador no viene
acompañado de ninguna evidencia o sustrato documental que acredite
las manifestaciones realizadas y menciona el informe presentado en
2024, haciendo referencia al informe pericial anterior, como si lo hubiera
emitido la misma empresa.

Procede valorar los referidos informes conforme a las reglas previstas en artículo 348
de la Ley de Enjuiciamiento Civil (en adelante, LEC), aplicable en materia de medios
de prueba en el caso de los procedimientos contencioso-administrativos, y por ende,
de los procedimientos administrativos como el presente, que señala que: “El tribunal
valorará los dictámenes periciales según las reglas de la sana crítica”.

Tal y como ha puesto de manifiesto la STAP Madrid, Sección 19ª de 17/12/2020, al
valorarse la prueba por medio de dictamen de peritos (informe de peritaje de parte en
el caso del procedimiento administrativo), deberán ponderarse, entre otras cosas, las
siguientes cuestiones:

“1°.- Los razonamientos que contengan los dictámenes y los que se hayan vertido
en el acto del juicio o vista en el interrogatorio de los peritos, pudiendo no aceptar
el resultado de un dictamen o aceptarlo, o incluso aceptar el resultado de un
dictamen por estar mejor fundamentado que otro: STS 10 de febrero de 1.994
(/848).

2°.- Deberá también tener en cuenta el tribunal las conclusiones conformes y
mayoritarias que resulten tanto de los dictámenes emitidos por peritos designados
por las partes como de los dictámenes emitidos por peritos designados por el
Tribunal, motivando su decisión cuando no esté de acuerdo con las conclusiones
mayoritarias de los dictámenes: STS 4 de diciembre de 1.989 (/8793).

3°.- Otro factor a ponderar por el Tribunal deberá ser el examen de las
operaciones periciales que se hayan llevado a cabo por los peritos que hayan
intervenido en el proceso, los medios o instrumentos empleados y los datos en los
que se sustenten sus dictámenes: STS 28 de enero de 1.995 (/179).

4°- También deberá ponderar el tribunal, al valorar los dictámenes, la competencia
profesional de los peritos que los hayan emitido así como todas las circunstancias
que hagan presumir su objetividad, lo que le puede llevar en el sistema de la
nueva LEC a que dé más crédito a los dictámenes de los peritos designados por
el tribunal que a los aportados por las partes: STS 31 de marzo de 1.997 (/2542)”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/225

Teniendo en cuenta las reglas previstas en la Sentencia citada, cabe valorar los
informes de parte presentados, teniendo en cuenta que:

o En primer lugar, las afirmaciones y conclusiones realizadas en ambos informes
no vienen acompañados de evidencias que vengan a acreditar de forma
irrefutable las mismas, como se ha expuesto anteriormente. Si bien el primero
de ellos (de ***EMPRESA.3) sí realiza un peritaje profesional basado en
pruebas y comprobaciones objetivas, finalmente no acredita que el hash que
aparece en la EVID007 de su informe no sea realmente el patrón biométrico. Y
el segundo de ellos (de ***EMPRESA.2), no se realizan comprobaciones ni
aportan evidencias, ni sustrato documental que apoye sus afirmaciones.

o Es más, se ha de señalar que el informe de ***EMPRESA.2 ni siquiera aporta
las prescripciones técnicas de desarrollo del programa ***APLICACIÓN.1,
señalando que no existen, y que la documentación técnica del programa es la
que se ha aportado al procedimiento, haciendo constar un resumen de los
requisitos técnicos del programa en su informe.

Hay que señalar que cuando se vaya a realizar un tratamiento de datos
personales a través de un sistema o procesamiento técnico, es conveniente
sino necesario disponer de las prescripciones o especificaciones técnicas del
mismo previamente, para poder elaborar una EIPD del tratamiento que analice
el impacto real que tendrá la implantación de este software en los derechos y
libertades de los interesados. Documento en base al cual la UIV debió elaborar
su EIPD y decidir si su programa trataba o no datos biométricos de categoría
especial, valorar los riesgos concurrentes y medidas a prever en base a las
características técnicas reales que tuviera el programa.

Y en este caso, consta que la EIPD se elaboró en base a la interpretación que
pudo realizar de la información técnica comercial que le fue proporcionada por
el suministrador en documentos ya analizados como el Documento 1.2, o los
Documentos 3.6 a 3.8, cuya descripción era claramente incompleta y
contradictoria, puesto que en los mismos no hacían referencia a que el
programa de reconocimiento facial funcionase comparando imágenes
almacenadas con las capturadas durante el examen y generando cada dos
segundos el patrón facial de cada una para hacer las comparaciones. Y por
este mismo motivo, la EIPD elaborada tampoco hizo constar esta cuestión,
haciendo referencia a que se realizaba un reconocimiento biométrico durante el
examen que se comparaba con el “patrón inicial del estudiante”.

De haberse aportado las prescripciones o especificaciones técnicas que fueron
requeridas durante la fase de prueba, y haberse comprobado que éstas se
elaboraron por el desarrollador del programa y que fueron entregadas a la UIV
antes de la puesta en funcionamiento de cada versión del programa, y que en
las mismas consta que el procesamiento biométrico de los datos se realiza tal y
como señalan estos informes, podría tenerse por acreditado el hecho de que el
programa no almacena los patrones faciales, sino que los genera en el
momento y los utiliza durante el tiempo necesario para hacer la comparación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/225

Pero estas prescripciones fueron requeridas como prueba por esta instructora,
y no han sido aportadas, señalando el propio suministrador que las mismas no
existen, y que solo se dispone de la información que consta en la web de
***EMPRESA.2, que no se aporta. En su lugar, la UIV aporta el presente
informe-certificado elaborado “ad hoc” por el suministrador para contestar a
este requerimiento de prueba, en el que se hace una breve descripción de los
que dice son los requisitos técnicos del programa comunes a todas las
modalidades, que no puede tener en ningún caso el valor probatorio que
tendría el documento original que debió ser elaborado antes de contratar el
programa.

o Por otra parte, cabe señalar que existe una diferencia sustancial entre el
informe de peritaje y el informe del suministrador que desarrolló el programa,
estando el primero dotado de un mayor valor de credibilidad y competencia,
toda vez que la competencia profesional del perito está acreditada y se
relacionan las pruebas y comprobaciones realizadas, aportando evidencia de
cada aspecto comprobado (si bien la referida al almacenamiento del patrón
biométrico no es completa). Pero el informe de ***EMPRESA.2 no se señala la
titulación o función del firmante del mismo, ni realiza ninguna prueba o
valoración técnica, ni aporta análisis o estudio de datos que acredite sus
manifestaciones.

o Además, el nivel de objetividad de las afirmaciones de ambos informes debe
ceñirse al que puede darse a los dictámenes de parte, que están emitidos por
técnicos contratados por el responsable del tratamiento, observándose además
en este caso que ***EMPRESA.2 tiene una relación contractual y un claro
interés en este asunto, toda vez que es el que ha desarrollado el programa
cuya aplicación está siendo objeto de cuestionamiento, y ha manifestado en su
documentación que su programa no realiza tratamiento de datos biométricos
de categoría especial por lo que no precisa cumplir los requisitos exigibles por
el RGPD a este tipo de tratamientos. Y, si bien cabe dotar de mayor objetividad
al informe de peritaje de ***EMPRESA.3 porque no consta que exista una
relación contractual previa o interés de la misma en el procedimiento, lo cierto
es que el informe de ***EMPRESA.2 encabeza sus afirmaciones con la frase:
“tal y como se ha señalado en el informe anteriormente presentado en 2024”,
haciendo suyas las afirmaciones realizadas por la consultoría que realizó el
peritaje, puesto que el único informe presentado durante 2024 por la UIV ha
sido el peritaje de la consultoría informática al que estamos haciendo
referencia, lo que hace todavía más cuestionable, si cabe, la objetividad de las
afirmaciones realizadas en ambos informes.

No obstante, lo que si es cierto es que el primero de los informes realiza un peritaje
profesional en el que falta completar la evidencia que acreditaría que el programa
***APLICACIÓN.1 no almacena el patrón biométrico, pero el mismo sí aporta indicios
racionales de que sus afirmaciones sean ciertas, generando una duda razonable a
favor de que sea cierto que, aunque no consta documentado, el programa
***APLICACIÓN.1 aplicado por la UIV genera patrones biométricos y los emplea para
realizar la autenticación de identidad del alumno durante el examen, pero no los
almacena ni los destruye, sino que los genera y conserva durante el tiempo
imprescindible para realizar la autenticación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/225

Por tanto, dado que no almacenar las plantillas biométricas de los alumnos es una
medida de seguridad del tratamiento cuya adopción se alega pero no se acredita de
forma fehaciente por la UIV, pero tampoco existe prueba de cargo que acredite lo
contrario, cabe aplicar el Principio In dubio pro reo y considerar que la UIV adoptó esta
medida de seguridad y que el programa no almacenaba datos biométricos, teniendo
por probado que el funcionamiento y características técnicas del reconocimiento facial
utilizado por el programa ***APLICACIÓN.1 se ajustan a lo que se hace constar en
ambos informes aportados por la UIV, interpretando la falta de prueba a favor del
imputado.

Ahora bien, como ya se ha avanzado en diversas ocasiones a lo largo de este escrito,
que no se almacenara la plantilla biométrica implica que la UIV adoptó una medida
adecuada para reforzar la seguridad del tratamiento, a los efectos de cumplir con la
obligación prevista en el artículo 32 del RGPD, pero ello no le exime de
responsabilidad por incumplir con las obligaciones previstas en el artículo 9 y 5.1.c) del
RGPD, toda vez que consta acreditado que el programa empleado para controlar la
identidad de los alumnos trata datos biométricos de categoría especial, siendo
indiferente que los almacene, puesto que lo importante es que el programa los genera
y los utiliza para realizar la identificación unívoca de los estudiantes de forma continua
durante toda la realización del examen.

Toda vez, que el hecho que determina que exista tratamiento de datos biométricos
personales de categoría especial, como se ha dicho, es la generación y utilización del
patrón biométrico para identificar al alumno, con independencia del almacenamiento
del mismo>>.

IV. Contestación de las alegaciones contra el Acuerdo de Inicio

Habiéndose dado respuesta en el Fundamento de Derecho anterior a las alegaciones
realizadas en relación con la prueba de los hechos controvertidos del procedimiento (y
en especial, a las contenidas en el escrito de 24 de julio de 2024, aportando el informe
pericial de 23 de julio de 2024 y escrito de 6 de febrero de 2025, contestando al
acuerdo de prueba de 15 de enero de 2024), el Fundamento de Derecho IV de la
Propuesta de Resolución procedió a dar respuesta al resto de alegaciones formuladas
frente al acuerdo de inicio presentadas en nombre de la UIV con fechas de 21 de
mayo de 2024 y 26 de febrero de 2025, en los términos que se transcriben a
continuación( entre <<..>>:

<< 3.1. Contestación al escrito de alegaciones de 21 de mayo de 2025.

Antes de abordar las alegaciones formuladas, conviene hacer una especial referencia
a la naturaleza del cargo de la persona que ha redactado y firmado el primer escrito de
alegaciones de 21 de mayo de 2024 presentado en nombre de la UIV. Tal y como se
observa en dicho documento, las alegaciones han sido elaboradas y firmadas por
C.C.C., ***PUESTO.1.

Dicho hecho obliga a recordar, aunque sea de forma sucinta, las distintas funciones y
roles que el RGPD atribuyen a un delegado de protección de datos y a un responsable
del tratamiento en nuestro RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/225

Así, el artículo 4 punto 7 del RGPD define al “«responsable del tratamiento» o
«responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo
que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho
de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.

Por su parte, la figura del Delegado de Protección de Datos (en adelante DPD) se
encuentra regulada en la Sección IV del Capítulo IV del RGPD (artículo 37 y ss) así
como en el capítulo III del Título V de la LOPDGDD (artículos 34 a 37). La exposición
de motivos de esta última norma incide en la destacada importancia que ostenta esta
figura, tanto en el RGPD como en la propia ley orgánica, que parte del principio de que
puede tener un carácter obligatorio o voluntario, estar o no integrado en la
organización del responsable o encargado y ser tanto una persona física como una
persona jurídica.

El Considerando 97 del RGPD indica, in fine, que: “Tales delegados de protección de
datos, sean o no empleados del responsable del tratamiento, deben estar en
condiciones de desempeñar sus funciones y cometidos de manera independiente”.

Entre las funciones del DPD, enunciadas en el artículo 39 del RGPD, destaca la de
informar y asesorar al responsable o al encargado del tratamiento y a los empleados
que se ocupen del tratamiento de las obligaciones que les incumben, supervisar el
cumplimiento de lo dispuesto en el RGPD, de otras disposiciones de protección de
datos de la Unión o de los Estados miembros y de las políticas del responsable o del
encargado del tratamiento en materia de protección de datos personales, así como
cooperar con las Autoridades de Protección de Datos.

La naturaleza del DPD implica, pues, una especial autonomía e independencia
respecto del responsable del tratamiento, tal y como establece tanto en el artículo 38.6
del RGPD como en el 36 de la LOPDGDD, pues es imperativo “garantizar la
independencia del delegado de protección de datos dentro de la organización,
debiendo evitar cualquier conflicto de intereses.”

Por otro lado, en lo que se refiere concretamente a la interposición de alegaciones en
un procedimiento sancionador, debe tenerse en cuenta que tal y como dispone el
artículo 5.2 del RGPD, es el responsable del tratamiento quien debe garantizar y
demostrar el cumplimiento de las obligaciones exigidas por el artículo.

Teniendo en cuenta los citados preceptos, debe ser el responsable del tratamiento
quien, en caso del presente procedimiento sancionador, presente las alegaciones que
estime oportunas frente al acuerdo de iniciación con el fin de acreditar su cumplimiento
con la normativa. Lo que se podrá realizar directamente o través de representante
designado al efecto.

Por el contrario, la presentación de dichas alegaciones por parte del DPD en nombre y
representación de la parte reclamada podría con llevar la existencia de un conflicto de
intereses, dado que afecta a la especial autonomía e independencia a la que se ha
hecho referencia anteriormente. Si el DPD asume la defensa del responsable en un
procedimiento sancionador, su independencia se ve comprometida, pues en tal caso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/225

se está actuando en interés del responsable y no en su rol neutral de supervisión. Por
tanto, permitir o atribuir a un DPD la defensa en procedimientos sancionadores en
materia de protección de datos implica una interferencia en las funciones del aquel,
generando, como se ha señalado, un potencial conflicto de intereses.

No obstante, en relación a la pertinencia de las alegaciones presentadas, en virtud del
principio in dubio pro actione y con el fin de evitar cualquier tipo de indefensión a la
reclamada, se considera oportuno valorar las alegaciones presentadas, sin perjuicio de
las posteriores que, en su caso, sean formuladas durante el trámite de audiencia que
sigue a la presente resolución.

Así pues, entrando en el contenido del escrito de alegaciones el 21 de mayo de 2024,
se observa que la Universidad incluye una alegación previa y un total de 10 motivos de
alegación, que giran en torno a las tres cuestiones jurídicas básicas planteadas en el
presente procedimiento: naturaleza jurídica del tratamiento, concurrencia de una
excepción del artículo 9.2 del RGPD que habilite para tratar datos de categoría
especial, y la superación del triple juicio de proporcionalidad del tratamiento. Y dedica
el último motivo a las alegaciones frente a los criterios de graduación de la sanción
que fueron tenidos en cuenta en el Acuerdo de Inicio.

A los efectos aclaratorios oportunos, se procede a agrupar las alegaciones realizadas
y prueba unida al presente procedimiento en torno a las siguientes 4 cuestiones
planteadas:

1. Sobre la naturaleza jurídica del tratamiento a la que se refiere el Fundamento II
del Acuerdo de Inicio. Que se desarrolla en los apartados PREVIO a QUINTO del
escrito de alegaciones.

2. Alegaciones frente al Fundamento III del Acuerdo de Inicio. Sobre la concurrencia
de una infracción del artículo 9 del RGPD, y la concurrencia de una excepción del
artículo 9.2 que habilite el tratamiento de datos de categoría especial.

- SEXTA. - El consentimiento explícito como excepción del artículo 9.2 y como
base jurídica del tratamiento.

- SÉPTIMA. - El interés público esencial como excepción del artículo 9.2 y como
base jurídica del tratamiento.

- OCTAVA. - Concurrencia de una base de licitud del artículo 6.1del RGPD.

3. Alegaciones frente al Fundamento IV del Acuerdo de Inicio, sobre el
incumplimiento del artículo 5.1.c) del RGPD, por no ser el tratamiento de datos
biométricos necesario ni proporcional para cumplir con la finalidad del
tratamiento.

Únicamente se incluye la alegación NOVENA. “La aplicación
***APLICACIÓN.1 es necesaria, idónea y proporcional”.

4. Alegaciones frente al F.D sobre graduación de la sanción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/225

Agrupadas en la alegación DECIMA. “En relación con las circunstancias
agravantes”.

La cuestión central en torno a la que giran las alegaciones es la negación de la
naturaleza jurídica o calificación del tratamiento como tratamiento de datos biométricos
de categoría especial.

Como ya se ha avanzado, la Universidad reconoce que el programa
***APLICACIÓN.1 (en su versión inicial de ***APLICACIÓN.4 y la posterior de
***APLICACIÓN.2/***APLICACIÓN.7/***APLICACIÓN.5) trata datos biométricos, pero
niega que (i) el programa ***APLICACIÓN.1 almacene plantillas biométricas que
cumplan con las características que se indicaban en el Fundamento 2.1 del Acuerdo
de Inicio, (ii) que el programa trate de datos biométricos de categoría especial (iii) e
incluso que estos sean de “alto riesgo”, partiendo en su fundamentación varios errores
conceptuales básicos que le llevan a esta conclusión, tales como:

o Aplicar un criterio interpretativo del antiguo Grupo de trabajo del Artículo 29 en
unas Directrices dictadas con anterioridad a la entrada en vigor del nuevo
RGPD, que consideraba que los sistemas de verificación de identidad por
reconocimiento facial que se denominan de “autenticación”, por basarse en
comparaciones de identidad 1.1, no tratan datos biométricos de categoría
especial, sino únicamente, aquellos sistemas de “identificación”, basados en
comparaciones de identidad 1.N.

Entender también que el programa ***APLICACIÓN.1, aunque emplea un
sistema de reconocimiento facial para verificar la identidad de los estudiantes y
genera un patrón facial de los mismos durante el examen, no trata datos
biométricos personales de categoría especial porque no almacena los patrones
faciales, sino que los genera y los conserva durante el tiempo necesario para
realizar la verificación, y por un máximo de 2 segundos.

o Entender que la normativa actual diferencia entre datos biométricos de carácter
personal y datos biométricos de categoría especial.

o Entender que esta Agencia haciendo una aplicación retroactiva del criterio
contenido en las Directrices 05/2022, de 26 de abril de 2023 y la Guía
aprobada por esta Agencia en noviembre de 2023, que es contraria a derecho.

o Y entender que el tratamiento realizado no es de alto riesgo, porque trata datos
biométricos que, según su opinión, no son considerados de alto riesgo,
alegando que su programa utiliza inteligencia artificial, por lo que debe
aplicarse el nuevo Reglamento de Inteligencia Artificial, que realiza una
diferenciación entre datos biométricos de alto y bajo riesgo.

Entrando en detalle, se plantean las siguientes cuestiones en las alegaciones previa a
quinta del escrito de alegaciones que cabe desestimar en base a lo siguiente:

 Alegaciones previa y primera. Sobre la existencia de dos categorías de datos
biométricos y la diferenciación entre verificación/autenticación e identificación
biométrica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/225

En la misma línea que se había manifestado en sus anteriores escritos, la Universidad
insiste en que la imposición de una sanción sería una resolución manifiestamente
injusta y contraria a derecho puesto que de acuerdo con la doctrina consolidada
contenida en el Dictamen 3/2012 del Grupo de Trabajo del Artículo 29 sobre la
evolución de las tecnologías biométricas cabe diferenciar entre “autenticación” e
“identificación”, considerando que la verificación de identidad realiza su Programa
***APLICACIÓN.1 no se incluye dentro del concepto de datos biométricos de
categoría especial. Y consideran que la imposición de una sanción sería improcedente
por diversos motivos que deben ser inadmitidos en base a lo siguiente:

o Sobre la inclusión de ambos sistemas de procesamiento (autenticación e
identificación) entre los datos biométricos de categoría especial.

Básicamente, la UIV insiste en que se aplique un concepto de datos
biométricos de categoría especial y alto riesgo que ya no está en vigor desde la
entrada en vigor del RGPD, insistiendo en ignorar la nueva regulación
contenida en el artículo 9 del RGPD y su Considerando 51, y aplicar un criterio
del anterior Grupo de Trabajo del Artículo 29 contenido en el Dictamen 3/2012
en el año 2012, cuya inaplicación al caso de los sistemas de evaluación online
por universidades mediante reconocimiento facial y dispositivos de grabación
de cámara y audio ya fue aclarada en el año 2020 para un supuesto
equivalente al que se trata en el presente procedimiento, en el que se emitió el
Informe 0036/2020 por el Gabinete Jurídico de esta misma Agencia. Y la
Universidad era consciente de ello, puesto que en su EIPD de septiembre de
2020 menciona el Informe 0036/2020, decidiendo, de motu propio, seguir
considerando que su tratamiento no incluía datos biométricos de categoría
especial, actuando en contra de la nueva regulación prevista en el RGPD, y el
propio criterio de esta Agencia.

Además, discrepan de la interpretación que realiza al respecto el máximo
órgano consultivo en materia de protección de datos (CEPD) en las Directrices
5/2022 sobre el uso del reconocimiento facial en el ámbito de la aplicación de
la ley de 26 de abril de 2023, que ha confirmado que el RGPD incluye a ambos
sistemas de procesamiento (autenticación e identificación) entre los datos
biométricos de categoría especial.

Primero que nada, hay que señalar que la Universidad incurre en una
contradicción entre lo que indica en sus escritos de alegaciones y respuesta, y
sus propios actos, puesto que ha elaborado una EIPD en septiembre de 2020,
que se ha actualizado en julio de 2023, y en enero de 2024 donde se reconoce
que es necesario elaborar una evaluación de impacto porque el tratamiento es
de alto riesgo.

Hecha esta precisión, cabe desestimar también las alegaciones realizadas por
la Universidad respecto de esta cuestión, que viene manteniendo desde sus
primeros escritos de respuesta, respecto a que debe mantenerse la distinción
entre procesos de autenticación (comparaciones 1:1) e identificación
(comparaciones 1:N), que fue puesta de manifiesto en el Dictamen 3/2012
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/225

Grupo de Trabajo del Artículo 29, que analizaban la normativa anterior al actual
RGPD.

Y es que no cabe excluir los procesos de autenticación de la identidad que
realizan comparaciones 1:1 de la naturaleza jurídica de datos biométricos de
categoría especial, puesto que:

o Como se ha señalado en el apartado 2.3 de la presente Propuesta,
la diferenciación entre autenticación/identificación que defiende la
Universidad se basa en un criterio interpretativo que ha sido
superado y no es aplicable desde la entrada en vigor del RGPD. Se
está alegando la aplicación de un Dictamen del Grupo del Artículo 29
que data del año 2012, e interpretaba la normativa anterior de
protección de datos de carácter personal (en la que los datos
biométricos no existían por lo que no podían ser considerados como
datos de especial protección), por lo que no es aplicable desde la
entrada en vigor del nuevo RGPD (mayo de 2018), donde todos los
datos biométricos dirigidos a la identificación unívoca de una persona
se elevaron a la categoría especial en el artículo 9 del RGPD, y se
aclaró en el Considerando 51 del RGPD que tal concepto incluye
tanto la autenticación 1:1 como la identificación 1:N.

o No se niega que los sistemas biométricos que el referido Dictamen
de 2012 denomina como de “autenticación”, basados en
comparaciones 1:1, generen menores riesgos para los derechos y
libertades de los interesados que los denominados como de
“identificación”, basados en comparaciones 1:N. La configuración de
este sistema de verificación de identidad supone que el programa
estaba provisto de una medida técnica de seguridad cuya adopción
ha sido considerada en los hechos probados, y se tuvo en
consideración al tipificar las infracciones y fijar la sanción a imponer.
Pero su empleo no cambia la naturaleza jurídica de los datos
personales que se están tratando al utilizar este programa, que en
ambos casos, son datos biométricos de carácter personal dirigidos a
la identificación unívoca. Con esta argumentación, la Universidad
confunde la categoría de los datos tratados con las posibles medidas
de seguridad que es aconsejable adoptar para afrontar los riesgos
que presenta el tratamiento, una de las cuales es precisamente
arbitrar sistemas de procesamiento biométrico que se basen en
comparaciones 1.1, puesto que solo precisan comparar los datos
biométricos e imágenes captadas con la plantilla biométrica de una
sola persona (el alumno que se-ha registrado y accedido al campus
virtual para realizar el examen).

o La Universidad no puede alegar desconocimiento o confusión al
interpretar la normativa, toda vez que tiene el deber de conocerla
como responsable del tratamiento, ni puede excusarse en la falta de
instrucciones interpretativas u orientaciones generales dictadas por
las autoridades consultivas y de protección, puesto que ello no es un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/225

requisito ni condición suspensiva del cumplimiento de sus
obligaciones, que nacen desde la entrada en vigor del RGPD. Toda
vez que el nuevo Principio de Responsabilidad Proactiva previsto en
el artículo 5.2 del RGPD obliga a todo responsable a analizar de
forma exhaustiva su tratamiento y determinar con diligencia cómo
deben aplicarse las obligaciones contenidas en el mismo. Así pues,
el artículo 5.2 del RGPD, señala lo siguiente: “2. El responsable del
tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”,
no pudiendo desplazar su responsabilidad de cumplimiento en las
autoridades consultivas o de protección.

o Pero, además, en este caso concreto, consta que la Universidad
conocía desde el año 2020 que esta Agencia ya había manifestado
que en el supuesto especifico de evaluación de exámenes online a
través de procesos de reconocimiento facial realizados mediante
comparaciones 1:1. se considera un tratamiento de datos
biométricos de categoría especial.

Tal y como se hace constar en el hecho probado quinto de esta
propuesta, consta acreditado que la Universidad conocía desde
septiembre del año 2020, fecha en la que elaboró la primera EIPD
del tratamiento, que esta Agencia ya se había pronunciado
expresamente sobre esta cuestión a través del Informe 0036/2020
del Gabinete Jurídico.

Tal y como se explicó en el Acuerdo de Inicio de este procedimiento,
es cierto que dicho informe partía que la diferenciación entre
autenticación/identificación y de la regla general de considerar que
los procesos de autenticación no eran datos biométricos de categoría
especial, pero señaló también que ello debía evaluarse en cada caso
concreto, y que esta exclusión de los procesos de
autenticación/verificación de la identidad no era aplicable a los
tratamientos dirigidos a identificar de forma unívoca a los alumnos
que participasen en los sistemas de evaluación online realizados por
universidades mediante reconocimiento facial y dispositivos de
grabación de cámara y audio. Y que, por tanto, en este supuesto
concreto -el tratamiento de datos biométricos mediante sistemas de
comparación 1:1 que realizaban los softwares de reconocimiento
facial ***PROGRAMA.1- también se considera de categoría especial,
estando generalmente prohibido por el artículo 9 del RGPD. Y pese a
ello, decidió actuar en contra del criterio interpretativo de esta
Agencia.

Así pues, si bien es cierto que dicho Informe 36/2020 indicó que la
regla general era que:

“(…) Atendiendo a la citada distinción, puede interpretarse que,
de acuerdo con el artículo 4 del RGPD, el concepto de dato
biométrico incluiría ambos supuestos, tanto la identificación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/225

como la verificación/autenticación. Sin embargo, y con carácter
general, los datos biométricos únicamente tendrán la
consideración de categoría especial de datos en los supuestos
en que se sometan a tratamiento técnico dirigido a la
identificación biométrica (uno-avarios) y no en el caso de
verificación/autenticación biométrica (uno-a-uno)”

Pero, seguidamente, el referido Informe determinó que debía
atenderse al caso concreto, y analizando un sistema de “E
Proctoring” utilizado por la Universidad solicitante del informe (UNIR),
que es prácticamente idéntico al que utiliza la UIV, señaló
expresamente que aunque se utilizase un sistema de autenticación
1.1 se trataban datos biométricos de categoría especial, dado que la
finalidad era la identificación unívoca del alumno. En concreto, señaló
lo siguiente:

“No obstante, esta Agencia considera que se trata de una
cuestión compleja, sometida a interpretación, respecto de la cual
no se pueden extraer conclusiones generales, debiendo
atenderse al caso concreto según los datos tratados, las
técnicas empleadas para su tratamiento y la consiguiente
injerencia en el derecho a la protección de datos, debiendo, en
tanto en cuanto no se pronuncia al respecto el Comité Europeo
de Protección de Datos o los órganos jurisdiccionales,
adoptarse, en caso de duda, la interpretación más favorable
para la protección de los derechos de los afectados. (el
subrayado es nuestro).

En el presente caso, tal y como hemos señalado, la
consultante no identifica las técnicas de tratamiento facial a la
que se refiere la consulta. No obstante, tal y como ha informado
al Gabinete Jurídico la Unidad de Evaluación y Estudios
Tecnológicos, son diferentes las técnicas que se están
empleando en el momento actual:

En el conjunto de consultas planteadas se establecen
medidas para la identificación y control durante la prueba online
que abarcan, desde las menos intrusivas a las más intrusivas:

• Acceso a la imagen y micrófono del alumno, incluyendo
o Grabación de la imagen y sonido del alumno durante el
examen
o Visualización del alumno multicámara, desde distintas
perspectivas.
o Grabaciones del entorno personal del alumno previa a la
prueba y/o durante la prueba.

• Acceso al sistema del alumno
o Acceso a la pantalla del alumno

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/225

o Control del sistema del alumno (al menos bloqueando la
ejecución de aplicaciones distintas a las aplicaciones docentes).
o Grabación de la interacción del alumno con el sistema

• Tratamiento de la información biométrica
o Identificación mediante reconocimiento facial y, además, otros
parámetros biométricos del alumno (como perfil de
mecanografía).

o Tratamiento de datos biométricos para perfilar actitudes,
gestos, estados de ánimo o de ansiedad, etc”.

Debiendo tenerse en cuenta que, tal y como se reconoce en la
“Segunda Jornada Online para Compartición de Experiencias de
Modelos de Evaluación” ya citada, las universidades están
combinando diferentes sistemas para acreditar la identidad del
alumno y evitar las posibles suplantaciones de identidad. Además,
una de las características de los sistemas de ***PROGRAMA.1
existentes en el mercado es que garantizan la identificación del
alumno mediante el reconocimiento facial, evitando la
suplantación de su identidad, no solo en el momento inicial, sino a
lo largo del desarrollo de toda la actividad, para lo cual se graba la
misma y se van realizando diferentes capturas que se comparan
con la información biométrica previamente almacenada en sus
bases de datos. Asimismo, dichos sistemas incluyen, tal y como
se ha indicado, el tratamiento de otro tipo de datos biométricos
(como las pulsaciones en el teclado) y de datos no biométricos,
como la grabación del entorno en el que se encuentra el alumno,
así como el acceso al micrófono para la grabación de sonidos.

Por tanto, atendiendo a las circunstancias concretas, que implican
el tratamiento de diferentes tipos de datos biométricos y en los
que el reconocimiento facial no se realiza en un momento
determinado sino que se realiza de manera continuada, lo que
puede implicar, asimismo, el tratamiento de los datos biométricos
de un tercero para su comparación con los del alumno al objeto
de identificar una posible suplantación, debe concluirse que los
procesos de reconocimiento facial empleados para la realización
de evaluaciones online implican el tratamiento de datos
biométricos con la finalidad de identificar unívocamente a una
persona física.

En este mismo sentido, cabe recordar que el Supervisor Europeo
de Protección de Datos, en sus “Guidelines 3/2019 on processing
of personal data through video devices" de 10 de julio de 2019
considera el empleo de videovigilancia con reconocimiento facial
como categoría especial de datos del artículo 9 del RGPD:

76. The use of video surveillance including biometric recognition
functionality installed by private entities for their own purposes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/225

(e.g. marketing, statistical, or even security) will, in most cases,
require explicit consent of all data subjects (Article 9 (2) (a)),
however another suitable exception in Article 9 could also be
applicable. Example: To improve its service a private company
replaces passenger identification check points within an airport
(luggage drop-off, boarding) with video surveillance systems that
use facial recognition techniques to verify the identity of the
passengers that have chosen to consent to such a procedure.
Since the processing falls under Article 9, the passengers, who
will have previously given their explicit and informed consent, will
have to enlist themselves at for example an automatic terminal in
order to create and register their facial template associated with
their boarding pass and identity.

(El uso de videovigilancia, incluida la funcionalidad de
reconocimiento biométrico, instalada por entidades privadas
para sus propios fines (por ejemplo, marketing, estadísticas o
incluso seguridad) requerirá, en la mayoría de los casos, el
consentimiento explícito de todos los interesados (Artículo 9 (2)
(a))., sin embargo, también podría ser aplicable otra excepción
adecuada del artículo 9. Ejemplo: Para mejorar su servicio, una
empresa privada sustituye los puntos de control de identificación
de pasajeros dentro de un aeropuerto (devolución de equipaje,
embarque) por sistemas de videovigilancia que utilizan técnicas
de reconocimiento facial para verificar la identidad de los
pasajeros que han optado por dar su consentimiento a dicho
procedimiento. . Dado que el tratamiento se rige por el artículo 9,
los pasajeros, que previamente habrán dado su consentimiento
explícito e informado, deberán registrarse, por ejemplo, en una
terminal automática para crear y registrar su plantilla facial
asociada a su tarjeta de embarque y a su identidad.)

Por ello, esta Agencia comparte el criterio de la consultante, en
el sentido de que los sistemas de reconocimiento facial objeto de
la consulta implican el tratamiento de categoría especiales de
datos.

Por consiguiente, para que sea lícito el tratamiento de los datos
biométricos, debe concurrir alguna de las excepciones que
levanten la prohibición de su tratamiento, conforme al apartado 2
del artículo 9 del RGPD…” (el subrayado es nuestro)

A la vista del contenido de este informe citado por la UIV, no hay
duda de que existe un claro paralelismo entre el tratamiento
biométrico que fue analizado en el informe 0036/2020 de esta
Agencia y el tratamiento de datos personales que realiza la UIV
durante todo el proceso de evaluación de los alumnos (captura de
imágenes del rostro del alumno a través de la webcam del equipo y
que se analizan con algoritmos IA usando análisis biométrico, así
como detección de comportamiento incorrectos; monitorización del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/225

escritorio, grabación de audio; monitorización del entorno a través de
una segunda cámara mediante el uso de teléfono móvil como cámara
externa, realizándose el análisis de estas imágenes por medio de
algoritmos de IA sin aplicar análisis biométrico).

Por tanto, no cabe duda de que la UIV debería haber concluido ya
desde la entrada en vigor del RGPD en 2018, y como mínimo, desde
la fecha de aprobación de dicho Informe en el año 2020, que estaba
llevando a cabo un tratamiento de datos biométricos idéntico al que
fue analizado en dicho Informe, por lo que estaba tratando datos de
categoría especial. Y así mismo, consta acreditado que cuando
elaboró la primera EIPD de 2020, ya conocía el criterio de esta
Agencia para el caso concreto del reconocimiento facial para la
realización y monitorización de exámenes online en universidades, y
que el Gabinete Jurídico de esta Agencia había señalado
expresamente que existían alternativas posibles para realizar un
adecuado control de presencia y fraude en la evaluación de sus
alumnos, que no implicase el tratamiento biométrico.

Por tanto, no cabe alegar el Principio de Confianza legítima y
entender que la Universidad desconocía que el antiguo criterio del
Dictamen 3/2012 ya no se aplicaba con la nueva normativa, al menos
desde el año 2020, en que realizó su primera EIPD.

o La UIV reclama que el CEPD no dictó instrucciones al respecto hasta el año
2022 y que la Agencia mantuvo un criterio ambivalente al respecto hasta la
publicación de la Guía sobre tratamientos de control de presencia mediante
sistemas biométricos hasta noviembre de 2023.

Mantiene la UIV que, recientemente, se ha cambiado dicha interpretación por el
CEPD en las Directrices del CEPD 5/2022, de acuerdo con la cual los procesos
de verificación/autenticación también serían considerados como datos
biométricos, incluidos como datos de alto riesgo y de categoría especial.

Por otra parte, la universidad señala que la AEPD mantuvo una posición
ambivalente hasta noviembre de 2023, momento en el que publicó una
"guía no vinculante" sobre tratamientos de control de presencia
mediante sistemas biométricos (en adelante, Guía de Biométricos), que sigue
el nuevo criterio de las Directrices del CEPD 5/2022. Entiende que durante un
periodo de 6 años no existía criterio, que éste no puede serle aplicable
retroactivamente, y que la guía no es una norma jurídica porque no es
vinculante.

Es cierto que las referidas Directrices 05/22 del CEPD son claras y determinan
que la nueva regulación del RGPD incluye tanto a los procesos biométricos de
autenticación como de identificación:

“10. Como cualquier proceso biométrico, el reconocimiento facial puede
cumplir dos funciones distintas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/225

• la autenticación de una persona, destinada a verificar que una persona
es quien ella o ella dice ser. En este caso, el sistema comparará una
plantilla biométrica pregrabada o una muestra (por ejemplo, almacenada
en una tarjeta inteligente o pasaporte biométrico) con una sola cara, como
la de una persona que se presenta en un puesto de control, con el fin de
verificar si se trata de una sola persona. Por lo tanto, esta funcionalidad se
basa en la comparación de dos plantillas. Esto también se llama
verificación 1 a 1.

• la identificación de una persona, destinada a encontrar una persona entre
un grupo de dentro de un área específica, una imagen o una base de
datos. En este caso, el sistema debe procesar cada cara capturada, para
generar una plantilla biométrica y luego comprobar si coincide con una
persona conocida por el sistema. Por lo tanto, esta funcionalidad se basa
en comparar una plantilla con una base de datos de plantillas o muestras
(línea de base). Esto también se llama identificación de 1 a muchos. Por
ejemplo, puede vincular un registro de nombres personales (apellidos,
nombre) a una cara, si la comparación se hace con una base de datos de
fotografías asociadas con apellidos y nombres. También puede implicar
seguir a una persona a través de una multitud, sin necesariamente
establecer el vínculo con la identidad civil de la persona.

11. En ambos casos, las técnicas de reconocimiento facial utilizadas se
basan en una coincidencia estimada entre plantillas: la que se compara y
la línea de base (s). Desde este punto de vista, son probabilísticos: la
comparación deduce una probabilidad mayor o menor de que la persona
sea efectivamente la persona a ser autenticada o identificada; si esta
probabilidad supera un cierto umbral en el sistema, definido por el usuario
o el desarrollador del sistema, el sistema asumirá que hay una
coincidencia.

12. Si bien ambas funciones — autenticación e identificación — son
distintas, ambas se relacionan con el tratamiento de datos biométricos
relacionados con una persona física identificada o identificable y, por lo
tanto, constituye un tratamiento de datos personales y, más
específicamente, un tratamiento de categorías especiales de datos
personales.” (el subrayado es nuestro)

No obstante, no es cierto que se haya producido un cambio de criterio desde
que se han dictado dichas Directrices 05/2022 del CEPD ni a partir de la Guía
aprobada por esta Agencia en noviembre de 2023, sino que las mismas
vienen a confirmar el cambio de posición que adoptó el propio RGPD, al
elevar a todos los datos biométricos dirigidos a la identificación unívoca de las
personas físicas a la condición de datos personales de categoría especial. No
se está realizando una aplicación retroactiva- de las normas, puesto que las
obligaciones cuyo incumplimiento se dilucida en este procedimiento fueron
impuestas por el RGPD, y son exigibles desde su entrada en vigor, no desde
que se dictaron las mencionadas Directrices 05/2022 o la Guía de esta
Agencia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/225

Hay que recordar que, como señala la propia UIV en sus alegaciones, las
Directrices del CEPD (y anterior Grupo del Articulo 29), así como las Guías e
Informes dictados por esta Agencia no son normas vinculantes, sino que
contienen meros criterios interpretativos que no son de obligatoria aplicación.
Y, por tanto, no pueden sustituir ni condicionar la aplicación de las normas
jurídicas vinculantes como el RGPD, que es un reglamento europeo, cuyas
previsiones son obligatorias desde el momento de su entrada en vigor. La
falta de adopción de directrices, o guía no es excusa para que el responsable
pueda incumplir las obligaciones que están previstas en el RGPD.

Los criterios normativos que los responsables y encargados de tratamientos
de datos personales sometidos al RGPD han de aplicar se establecen por lo
dispuesto en el RGPD, sus normas de desarrollo aprobadas por el Gobierno,
en los reglamentos europeos y leyes españolas sectoriales. Los criterios
jurídicos que limitan la interpretación de la normativa de protección de datos
se establecen en la del Tribunal de Justicia de la Unión Europea, la
jurisprudencia española, las directrices del CEPD), las circulares de la AEPD
o los informes jurídicos de la AEPD. Pero los emitidos por el CEPD o la AEPD
no son fuente del derecho, sin perjuicio de su valor de orientaciones
generales, por lo que el responsable del tratamiento no está obligado a
cumplirlas, si bien ello es recomendable o aconsejable.

En concreto, el CEPD ofrece orientaciones generales (como directrices,
recomendaciones y buenas prácticas) para informar sobre el RGPD. Publica
directrices a fin de que las autoridades nacionales y las partes interesadas
garanticen que el RGPD se interpreta de forma coherente.

Y de acuerdo con el artículo 57.d) del RGPD, esta Agencia tiene la función de
promover la sensibilización de los responsables y encargados del tratamiento
acerca de las obligaciones que les incumben en virtud del RGPD. Esta
función se configura como una potestad y no como una obligación, de forma
que no es exigible que se aprueben Guías de interpretación de todas las
cuestiones que genera la aplicación de una nueva norma, y menos que se
haga dentro de unos plazos máximos desde la aprobación, máxime teniendo
en cuenta el alcance evolutivo de las tecnologías biométricas.

En el caso que nos ocupa, la “Guía de la AEPD sobre tratamientos de control
de acceso mediante sistemas biométricos” recopila la regulación y los
criterios establecidos, entre otros, en el RGPD (en aplicación desde 2018), la
Sentencia del Tribunal Constitucional 76/2019, la Lista de tipos de
tratamientos de datos que requieren evaluación de impacto en tratamientos
de datos personales (en adelante EIPD), publicada por la AEPD y aprobadas
en 2019 por el CEPD, las Directrices 3/2019 del CEPD sobre el tratamiento
de datos personales mediante dispositivos de vídeo, las Directrices 4/2017
sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para
determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos
del Reglamento (UE) 2016/679, las Directrices 5/2020 del CEPD sobre el
consentimiento, la Guía de Relaciones Laborales de la AEPD de 2021, las
guías de Gestión del riesgo y evaluación de impacto en tratamientos de datos
personales de la AEPD de 2021, la Opinión del Supervisor Europeo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/225

Protección de Datos sobre sus recomendaciones al control de presencia
biométricos en el Parlamento Europeo (Case 2022-1318) y las Directrices
05/2022 del CEPD, sobre el uso de reconocimiento facial en el ámbito de las
fuerzas de orden público.

Por lo tanto, la Guía no altera la esfera jurídica de los interesades, no
establece nuevos criterios regulatorios. La Guía establece las “pautas
adecuadas para el cumplimiento de las obligaciones”, como establece la
Disposición adicional decimoctava de la LOPDGDD, y es cumple las
obligaciones de la AEPD de que “impulsen el cumplimiento” como establece
el Estatuto de la AEPD.

o Mantienen que el cambio de criterio contenido en las Directrices 05/2022 del
CEPD no es de aplicación al supuesto presente.

La universidad discrepa del criterio expresado en estas Directrices 5/2022 del
CEPD, manifestando que la extensión que se realiza en las mismas del
Considerando 51 del RGPD es contradictoria con lo señalado en el
Considerando 91 del RGPD y con el artículo 9.1 del RGPD, que solo incluye
los tratamientos biométricos de identificación unívoca como de categoría
especial, y no los de autenticación.

Al respecto, la Universidad entiende erróneamente que según el Considerando
91 del RGPD existen dos categorías de datos biométricos: los que implican alto
riesgo y los que no.

Pero el Considerando 91 del RGPD, que se refiere a los supuestos en los que
debe elaborarse una EIPD, establece lo siguiente:

“(…) La evaluación de impacto relativa a la protección de datos debe
realizarse también en los casos en los que se tratan datos personales para
adoptar decisiones relativas a personas físicas concretas a raíz de una
evaluación sistemática y exhaustiva de aspectos personales propios de
personas físicas, basada en la elaboración de perfiles de dichos datos o a
raíz del tratamiento de categorías especiales de datos personales, datos
biométricos o datos sobre condenas e infracciones penales o medidas de
seguridad conexas.(…).”

Es cierto que el dicho Considerando 91 del RGPD distingue entre el tratamiento
de categorías especiales de datos personales y los datos biométricos, a los que
separa con una coma. Pero ello no es porque considere que unos sean de alto
riesgo y otros no, ni tampoco porque entienda que la autenticación no se
considera tratamiento biométrico de categoría especial.

Como ya se ha avanzado anteriormente en el Fundamento de Derecho 2.1,
existe una diferenciación entre los datos biométricos de carácter personal que
cumplan con los criterios incluidos en la definición del artículo 4.14 del RGPD
-que siempre serán considerados como de categoría especial según el artículo
9 del RGPD, siendo su tratamiento de alto riesgo según el artículo 35 del
RGPD-, y los datos biométricos que no cumplan con los criterios contenidos en
dicha definición, como por ejemplo sucedería con los programas que identifican
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/225

que los movimientos del ratón de un ordenador se están realizando por un
humano y no una máquina. Estos últimos, son también datos biométricos, pero
no se consideran de carácter personal porque no se dirigen a identificar de
forma unívoca a las personas, por lo que no serán datos personales de
categoría especial. Pero si podrán ser de alto riesgo si cumplen con dos de los
criterios contenidos en la lista de tipos de tratamiento de datos que requieren
evaluación de impacto relativa a la protección de datos, hecha pública por la
AEPD en desarrollo de la previsión contemplada en el apartado cuarto del
referido artículo 35, que señala que se considerarán siempre de alto riesgo los
tratamientos que cumplan con al menos dos de los 3 criterios contenidos en
dicha lista, puesto que le son aplicables los correspondientes a los números 4,
5 y 10 de dicho documento (aquellos que impliquen el uso de categorías
especiales de datos; el uso de datos biométricos y los que impliquen la
utilización de nuevas tecnologías o un uso innovador de tecnologías
consolidadas).

Por tanto, según lo que establecen el artículo 35.4 del RGPD y la Lista de
tratamientos que precisan EIPD a la que se ha hecho referencia, un
tratamiento de datos biométricos que no fueran de categoría especial por no
dirigirse a identificar de forma unívoca a una persona, o no generar una plantilla
biométrica, podría ser de alto riesgo y precisar una EIPD en el caso de que
emplease nuevas tecnologías, como ocurre, además, en este programa, que
emplea técnicas de inteligencia artificial, además de las biométricas. A ello es a
lo que se refiere este Considerando 91, que en ningún caso se contradice con
el Considerando 51 del RGPD.

Por otra parte, la UIV entiende que las Directrices 05/22 del CEPD no son
aplicables a este supuesto, puesto que se refieren únicamente al contexto de la
ley e investigación policial, cuando el sistema ***APLICACIÓN.1 utilizado por la
Universidad se basa en el consentimiento. No obstante, no son las Directrices
5/22 lo que determina que el tratamiento de datos biométricos sea de carácter
especial, sino el propio RGPD, como ya se ha dicho. Y no se está realizando
una aplicación de dichas Directrices para determinar si concurren las posibles
excepciones concurrentes del artículo 9.2 del RGPD, por lo que no cabe
tampoco entrar a cuestionar su aplicación en el supuesto presente.

o Sobre la categorización de datos biométricos que realiza el nuevo Reglamento
de Inteligencia Artificial.

Se indica también que según el nuevo Reglamento de Inteligencia Artificial (en
adelante, RIA), REGLAMENTO (UE) 2024/1689 DEL PARLAMENTO
EUROPEO Y DEL CONSEJO de 13 de junio de 2024 (publicado DOUE 1689
de 12/07/24), la verificación biométrica de identidad que realiza el programa de
la UIV no se considera tratamiento de datos biométricos de categoría especial
ni tratamiento de alto riesgo. Señalan que el RIA establece dos categorías de
datos biométricos: a) de carácter general, que no suponen alto riesgo; y b) los
datos biométricos que suponen alto riesgo. Lo que, a su juicio, corrobora la
interpretación que excluye los procesos de autenticación biométrica de los
biométricos de categoría especial, según la entidad reclamada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/225

Es cierto que el nuevo RIA regula los sistemas de inteligencia artificial y
establece una diferenciación entre sistemas de inteligencia artificial que tratan
datos biométricos de carácter general y los que tratan datos biométricos de alto
riesgo, señalando lo siguiente:

El Art 3.a) define «sistema de IA» como: un sistema basado en una
máquina que está diseñado para funcionar con distintos niveles de
autonomía y que puede mostrar capacidad de adaptación tras el
despliegue, y que, para objetivos explícitos o implícitos, infiere de la
información de entrada que recibe la manera de generar resultados de
salida, como predicciones, contenidos, recomendaciones o decisiones,
que pueden influir en entornos físicos o virtuales”.

El art 6 se refiere a que existen dos tipos de sistemas IA que se
considerarán de alto riesgo: los referidos a mecanismos de seguridad
en productos enumerados en el Anexo I (listas de armonización), y los
que constan en el Anexo III (en cuyo punto 1 entran algunos sistemas
biométricos como los “Sistemas de identificación biométrica remota” con
excepciones; los “Sistemas de IA destinados a ser utilizados para la
categorización biométrica en función de atributos o características
sensibles o protegidos basada en la inferencia de dichos atributos o
características”, y los “Sistemas de IA destinados a ser utilizados para el
reconocimiento de emociones”).

No obstante, esta diferenciación no se aplica al supuesto presente, toda vez
que:

(i) Esta diferenciación no ha entrado en vigor hasta el 2/2/2025,
dado que el artículo 113 del RIA prevé una aplicación paulatina
de sus preceptos, determinando que el capítulo en el que se
encuentra definida dicha diferenciación no será aplicable hasta
el 2 de febrero de 2025: “los capítulos I y II serán aplicables a
partir del 2 de febrero de 2025”. Por tanto, en cualquier caso, no
sería aplicable al tratamiento realizado por la UIV con
anterioridad a dicha fecha.

(ii) La aplicación del RIA no excluye la aplicación de los criterios
contenidos en el RGPD, que regula las obligaciones de los
tratamientos de datos personales que se consideran de alto
riesgo en su artículo 35.

Ello es así puesto que el artículo 2.7 del RIA ha declarado que
ambas normativas deben coexistir y se aplican de forma
independiente, señalando expresamente que: “El Derecho de la
Unión en materia de protección de los datos personales, la
intimidad y la confidencialidad de las comunicaciones se aplicará
a los datos personales tratados en relación con los derechos y
obligaciones establecidos en el presente Reglamento. El
presente Reglamento no afectará a los Reglamentos (UE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/225

2016/679 o (UE) 2018/1725 ni a las Directivas 2002/58/CE o
(UE) 2016/680, sin perjuicio del artículo 10, apartado 5, y el
artículo 59 del presente Reglamento.”

Lo que se confirma por los Considerandos 39 y 63 del RIA, que
señalan:

“39)Todo tratamiento de datos biométricos y de datos
personales de otra índole asociado al uso de sistemas de IA
para la identificación biométrica, salvo el asociado al uso de
sistemas de identificación biométrica remota en tiempo real
en espacios de acceso público con fines de garantía del
cumplimiento del Derecho regulado por el presente
Reglamento, debe seguir cumpliendo todos los requisitos
derivados del artículo 10 de la Directiva (UE) 2016/680. El
artículo 9, apartado 1, del Reglamento (UE) 2016/679 y el
artículo 10, apartado 1, del Reglamento (UE) 2018/1725
prohíben el tratamiento de datos biométricos con fines
distintos de la garantía del cumplimiento del Derecho, con
las excepciones limitadas previstas en dichos artículos. En
la aplicación del artículo 9, apartado 1, del Reglamento (UE)
2016/679, el uso de la identificación biométrica remota para
fines distintos de la garantía del cumplimiento del Derecho
ya ha sido objeto de decisiones de prohibición por parte de
las autoridades nacionales de protección de datos”.

“ 63) El hecho de que un sistema de IA sea clasificado como
un sistema de IA de alto riesgo en virtud del presente
Reglamento no debe interpretarse como indicador de que su
uso sea lícito con arreglo a otros actos del Derecho de la
Unión o del Derecho nacional compatible con el Derecho de
la Unión, por ejemplo, en materia de protección de los datos
personales o la utilización de polígrafos y herramientas
similares u otros sistemas para detectar el estado emocional
de las personas físicas. Todo uso de ese tipo debe seguir
realizándose exclusivamente en consonancia con los
requisitos oportunos derivados de la Carta y de los actos
aplicables del Derecho derivado de la Unión y del Derecho
nacional. No debe entenderse que el presente Reglamento
constituye un fundamento jurídico para el tratamiento de
datos personales, incluidas las categorías especiales de
datos personales, en su caso, salvo que el presente
Reglamento disponga específicamente otra cosa”.

(iii) Por la diferenciación existente entre tratamiento de datos
personales biométricos y sistemas biométricos.

Según la EIPD de 2023 (pag 702 exp) el programa contratado
por la Universidad emplea tecnologías que combinan datos
biométricos con inteligencia artificial, pues la monitorización que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/225

se realiza durante el examen al objeto de prevenir el
fraude/plagio dice incorporar técnicas para detectar
comportamientos “anómalos” y tomar decisiones automatizadas
a raíz de los mismos, que son supervisadas posteriormente por
el profesor asignado.

Pero ello solo implica que el tratamiento utiliza sistemas
biométricos y sistemas de inteligencia artificial para llevar a cabo
algunas de sus operaciones de tratamiento. El concepto de
tratamiento de alto riesgo que se define en el artículo 35 del
RGPD es más amplio que el concepto de sistemas o métodos de
procesamiento tecnológico mediante los cuales se decide llevar
a cabo el tratamiento.

Tal y como se ha explicado en el Fundamento de Derecho 2.1,
un tratamiento de datos biométricos puede ejecutarse a través
de diversos tipos de tecnologías, implementando diferentes
sistemas tecnológicos, algunos de los cuales pueden ser
biométricos y de inteligencia artificial al mismo tiempo, como
parece concurrir en el sistema “E- Proctoring” utilizado por la
Universidad.

Cuando entren en vigor la totalidad de las disposiciones del RIA
que se aplican a esta cuestión, habrán determinados sistemas
biométricos que utilicen inteligencia artificial que no impliquen
alto riesgo según la definición del RIA, pero el tratamiento, al
completo, continuará siendo calificado como de alto riesgo
desde el punto de vista de la protección de datos, siempre que
en su conjunto se considere de alto riesgo de acuerdo con la
definición del artículo 35.4 del RGPD. Y como se ha dicho, de
acuerdo con la Lista de Tratamientos que requieren EIPD que
fue aprobada por esta Agencia, no existe duda de que los
tratamientos de datos biométricos siempre serán considerados
de alto riesgo por el RGPD, aunque empleen un sistema de
inteligencia artificial que no sea considerado de alto riesgo por el
RIA.

Dicho de otra forma, la aplicación del RIA significa que cuando
estemos en presencia de un tratamiento biométrico de datos de
categoría especial dirigido a la identificación unívoca de las
personas, siempre se requerirá realizar una EIPD, y en el caso
de que se base en un sistema de inteligencia artificial que esté
calificado de alto riesgo por el artículo 6 del RIA, deberá además
elaborarse la documentación a la que se refiere el RIA en sus
artículos 11, 27, entre otros. Porque ambas normas protegen
perspectivas del derecho diferentes.

En definitiva, se puede decir que el hecho de que se utilice un
sistema de inteligencia artificial que no esté calificado de alto
riesgo por el RIA, no implica que el tratamiento de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/225

personales realizado no sea de alto riesgo, según aclara el
Considerando 63 del RIA, por lo que cabe desestimar también
esta alegación.

 Alegación Segunda. El sistema contratado por la universidad para realizar el
reconocimiento facial continuo del alumno no cumple las características de la
definición de datos biométricos a la que se refiere el apartado 2.1 del Acuerdo
de Inicio.

Por otra parte, la Universidad niega que concurran en su sistema las
características que el apartado 2.1 del Acuerdo de Inicio señalaba como
propias de los tratamientos biométricos. Características que implican la
concurrencia de riesgos adicionales a los que plantean los sistemas de
identificación unívoca de personas que no se basan en procesos biométricos.

Básicamente, se insiste en que al registrar al alumno no se guarda lo que la
UIV denomina como un “patrón biométrico”, sino que éste se crea y se destruye
en el momento de la verificación que se realiza durante el examen, que se
guarda un máximo de dos segundos. Verificación que “se realiza en tiempo real
comparando el patrón biométrico creado en ese momento a partir de la foto
realizada por el alumno en el momento de registro y el patrón biométrico
creado en ese momento a partir de la captura realizada durante el examen”.

Esta cuestión ya ha sido resuelta en el Fundamento de Derecho anterior al
valorar la prueba, entendiendo que no se ha acreditado que el programa
***APLICACIÓN.1 almacenase los patrones biométricos durante la fase de
registro del alumno y la de alta en el programa para realizar el examen, por lo
que debe aplicarse el Principio In Dubio Pro Reo y entender que dicha falta de
prueba debe interpretarse a favor de la universidad, y que es cierto que tal y
como indican el informe de peritaje presentado el 24 de julio de 2024 y el
informe emitido por el fabricante que desarrolló el programa el 30 de enero de
2025, el programa ***APLICACIÓN.1 genera el patrón facial del estudiante y lo
utiliza para realizar continuas autenticaciones de identidad del estudiante
durante la realización del examen (cada dos segundos), sin necesidad de
almacenar el mismo.

No obstante, como también se ha dicho, ello únicamente implica que la UIV
adoptó una medida técnica de seguridad que contribuye a reducir los riesgos
derivados de un tratamiento de estas características, pero no excluye de
responsabilidad a la universidad por haber tratado datos biométricos
personales de categoría especial, dado que tanto el diseño del sistema como la
generación y utilización de un patrón biométrico son operaciones de
tratamiento de datos biométricos que deben estar habilitadas por una
excepción del artículo 9. 2 del RGPD, y ser necesario y proporcional de
acuerdo con lo previsto en el artículo 5.1.c) del RGPD.

Se señala también por la UIV que existen otras características técnicas de
***APLICACIÓN.1, como que utiliza datos personales seudonimizados, de
manera que la aplicación no contiene la identidad del alumno, y que utiliza un
código numérico para el tratamiento de los datos. Que el proceso elimina la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/225

posibilidad de que se produzcan falsos positivos o negativos. Características
propias de la mayor parte de sistemas biométricos que, como se ha explicado
en el Fundamento 2.1, solo confirman que estamos en presencia de un
tratamiento de datos personales biométricos de categoría especial. Todas ellas
son típicas medidas de seguridad que han sido adoptadas por el encargado del
tratamiento en el programa, que se han tenido en cuenta a la hora de graduar a
la baja la sanción a imponer, pero que en modo alguno sirven para concluir que
el tratamiento no sea de alto riesgo ni trate datos biométricos de categoría
especial.

Además, cuando la Universidad señala que hay múltiples verificaciones que se
realizan a lo largo del examen por lo que la tasa de error es cercana a cero
únicamente acredita que el sistema es idóneo para cumplir con la finalidad del
identificación unívoca del alumno, lo que no se discute en el presente
procedimiento. Y por otro lado, el hecho alegado de que “la supervisión
humana al final del examen elimina la posibilidad de errores, dado que es el
profesor el que valora las alertas de fraude y verifica sin son correctas”, lo que
hace es impedir que se impute una posible responsabilidad por incumplir el
artículo 22 del RGPD (relativo al derecho a no ser objeto de una decisión
basada únicamente en un tratamiento automatizado), pero no excluye la
posible responsabilidad concurrente por incumplir los artículos 5.1.c) y 9 del
RGPD, que son los imputados en el presente procedimiento.

 Alegación Tercera. Inexistencia de riesgos adversos.

Mantienen que no existen riesgos puesto que la muestra tomada para crear el
patrón biométrico es muy reducida y limitada, e insuficiente para realizar otras
acciones que no sean la verificación de identidad. Lo cual es una característica
común de la mayor parte de los sistemas biométricos basados en
reconocimiento facial como el presente, que utilizan una muestra pequeña de
la imagen de la cara (puntos de la cara) que se convierte en una plantilla
biométrica. Característica que se ha reconocido como medida de seguridad
adoptada y se ha tenido en cuenta al tipificar las infracciones y graduar la
sanción a imponer, pero que en ningún caso determina que el tratamiento no
sea de alto riesgo ni deba cumplir con las obligaciones cuyo incumplimiento se
imputa en el presente procedimiento, en el mismo sentido indicado
anteriormente.

o Alegación cuarta. La aplicación ***APLICACIÓN.1 no cumple con las
características de las plantillas biométricas establecidas en el apartado 2.2 del
Acuerdo de Inicio.

De nuevo se insiste en indicar que no se generan plantillas ni se archivan las
mismas, por lo que cabe remitirnos a lo ya indicado en relación con ambas
cuestiones.

o Alegación quinta. Exégesis del artículo 9 del RGPD.

Aportan la tabla de Roxburgh publicada en un Libro de 2017 sobre la huella
dactilar por el departamento de justicia de Estados Unidos para argumentar por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/225

qué no existen falsos positivos o negativos en su sistema, y justificar que la
verificación biométrica que cuenta con el consentimiento del interesado elimina
radicalmente el número de falsos positivos o negativos. Además de insistir,
una vez más, en que la verificación biométrica no entra dentro del ámbito de
aplicación del artículo 9.1 del RGPD.

El nivel aceptable de falsos positivos o negativos del sistema biométrico
utilizado por la Universidad no ha sido cuestionado, entendiendo el Acuerdo de
Inicio de este expediente, que el programa es idóneo para la finalidad del
tratamiento. Pero estos niveles de eficacia del sistema de reconocimiento facial
no excluyen el hecho de que el programa trate datos biométricos de categoría
especial, ni constituya un tratamiento de alto riesgo, por lo que el responsable
que los emplea deberá cumplir con los requisitos previstos para ambos en el
RGPD, incluido el asegurarse que, además de ser idóneo, el tratamiento de
datos biométricos de carácter especial que implica es realmente necesario y
proporcional para cumplir con la finalidad del mismo.

o Alegaciones en torno a la concurrencia de una excepción del artículo 9.2 del
RGPD que habilite el tratamiento (alegaciones sexta a octava).

A los efectos aclaratorios oportunos, para no incurrir en reiteraciones
innecesarias, se hará referencia a los motivos por los que se entiende que no
concurre una excepción que habilite a tratar datos biométricos de carácter
especial en el Fundamento de Derecho siguiente (V), dedicado precisamente a
determinar si existe incumplimiento del artículo 9 del RGPD.

o Alegación Novena: La aplicación ***APLICACIÓN.1 es necesaria, idónea
y proporcional:

Por los mismos motivos señalados en el párrafo anterior, se procederá a su
contestación en el Fundamento de Derecho VIII, dedicado al análisis de
idoneidad, necesidad y proporcionalidad y al cumplimiento del Principio
previsto en el artículo 5.1.c) del RGPD.

o Alegación Décima. En relación con las circunstancias agravantes.

(i) En primer lugar, respecto a la circunstancia de graduación relativa a
la “Naturaleza. gravedad y duración de la infracción”, se señala que
es arbitrario e injusto que la AEPD aplique como circunstancia
agravante la duración del tratamiento, superior a 6 años, cuando la
práctica totalidad de este periodo ha coincidido con la situación en
que la propia AEPD no ha clarificado su posición hasta noviembre
de 2023, es decir, con posterioridad a los hechos denunciados. Es
más, según la UIV, podría entenderse que con ello, la AEPD va
contra sus propios actos.

Al respecto de esta cuestión, nos remitimos a lo ya indicado en la
contestación de las alegaciones previa y primera, y se rectifica la
mención realizada por el Acuerdo de Inicio acerca de que “el tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/225

de los datos biométricos de reconocimiento facial lleva realizándose de
forma ilícita desde el año 2017”, dado que se ha acreditado en fase de
prueba que el inicio del tratamiento fue en mayo de 2015, pero esta
fecha no es relevante a efectos de determinar la responsabilidad de la
universidad, debiendo entenderse que es desde la entrada en vigor del
RGPD cuando comienzan a ser exigibles las obligaciones cuyo
incumplimiento se imputa en el presente procedimiento, y por tanto, la
fecha a partir de la cual debe entenderse cometidas ambas infracciones.

Ahora bien, respecto a la duración de la infracción del artículo 9.1 del
RGPD, si cabe estimar parcialmente esta alegación y considerar que la
UIV actuó bajo la creencia de un error en base al Principio de Confianza
legítima hasta que tuvo conocimiento del criterio emitido en el Informe
del Gabinete Jurídico nº36/2020, que hizo constar en su EIPD de 2020,
y decidió ignorar el criterio de la Agencia, pese a conocer que ésta ya se
había pronunciado acerca de estos sistemas de reconocimiento facial
***PROGRAMA.1 basados en sistemas de autenticación 1:1,
determinando que éstos si trataban datos biométricos de categoría
especial y los señalando expresamente los requisitos que debían
cumplirse para ser considerados como un tratamiento necesario y
proporcional en el ámbito de las evaluaciones de universidades online.
Pero no puede entenderse que la confianza legítima pueda extenderse
para justificar ni la situación actual -en la que la UIV insiste en seguir
aplicando este programa-ni el tratamiento que se viene realizando
desde la aprobación de la EIPD en septiembre de 2020.

En definitiva, cabe rectificar la duración de la infracción del artículo 9 del
RGPD, que fue señalada en el acuerdo de inicio para entender que
pese a que la infracción se consumó y cometió de forma continuada
desde la entrada en vigor del RGPD hasta la actualidad, no puede
imputarse responsabilidad a la UIV por falta del requisito de culpabilidad
hasta septiembre de 2020, fecha en la que consta acreditado que
analizó dicho Informe 36/2020 del gabinete jurídico de esta Agencia, y
continuó con el tratamiento de datos biométricos de categoría especial,
decidiendo actuar contra el mismo.

No obstante, no sucede lo mismo respecto a la infracción del artículo
5.1.c) del RGPD, respecto de la cual no cabe alegar el Principio de
Confianza Legítima al que se refiere la UIV, por no estar este Principio
relacionado con la cuestión de la calificación del tratamiento como de
datos personales de categoría especial, por lo que se considera que tal
infracción se cometió desde la entrada en vigor del RGPD, al continuar
con un tratamiento que se ha acreditado que no era necesario ni
proporcional por existir otras alternativas menos intrusivas que hubieran
podido permitir cumplir la finalidad de identificación pretendida.

(i) Sobre la circunstancia relativa a la concurrencia de “lntencionalidad
o negligencia en la infracción”, la Universidad niega su concurrencia
alegando que según la reciente sentencia del Tribunal de Justicia de
la UE de 5 de diciembre de 2023 el incumplimiento del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/225

únicamente puede sancionarse en el caso de que concurra dolo o
negligencia, la prueba del dolo o negligencia corresponde a la
administración, lo que se comparte por esta Agencia, que ha iniciado
el presente procedimiento por considerar que concurría negligencia
grave de la Universidad.

En primer lugar, cabe señalar que no es cierto que no exista carga
probatoria de la actuación negligente de la Universidad, puesto que
constan evidencias de que:

o Dice la UIV que realizó todas las evaluaciones oportunas, pero
lo cierto es que se ha acreditado en el hecho probado quinto que
el tratamiento que implicaba reconocimiento facial comenzó con
la contratación de la versión inicial de ***APLICACIÓN.1 en el
año 2015, y la primera EIPD fue en septiembre de 2020, más de
dos años después de que hubiera entrado en vigor el RGPD,
que además tuvo que ser completada por la actualización de la
EIPD julio de 2023, y la EIPD de enero de 2024, al no haberse
incluido en la originaria algunos aspectos relevantes del
tratamiento.

o Como también se ha dicho, ha quedado patente la falta de
adecuadas medidas de control de la información y conocimiento
del propio tratamiento diseñado, dado que la UIV manifiesta
desconocer qué versiones del programa ha contratado y desde
cuando, aportando múltiples documentos que se contradicen
entre sí, y reconociendo que elaboró la EIPD pese a no disponer
de las prescripciones técnicas del programa.

o En cualquier caso, la negligencia se manifiesta también al no
cumplir con los requisitos de justificar adecuadamente la
concurrencia de una excepción del artículo 9 del RGPD, y no
haber realizado un adecuado juicio de necesidad y
proporcionalidad del tratamiento, negándose incluso a analizar
diversas alternativas de tratamiento que podrían utilizarse para
evaluar los exámenes online controlando el fraude, que venían
especificadas en el referido Informe 0036/2020, bajo la simple
excusa de que no se pueden llevar a cabo en los exámenes
100% online.

o Por último, como ya se ha dicho, consta que no se analizaron
con rigor las nuevas obligaciones que comenzaron a ser
exigibles desde la entrada en vigor del RGPD en mayo de 2018,
y se continuó aplicando un criterio interpretativo que databa del
año 2012, desde septiembre de 2020, pese a conocer que la
Agencia ya había resuelto esta cuestión respecto a un sistema
equivalente sin plantearse la posible adaptación de su
tratamiento a las obligaciones derivadas del tratamiento de
datos biométricos de categoría especial, ni elevar consulta
previa a esta Agencia en caso de duda.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/225

No obstante, a la vista de las nuevas circunstancias acreditadas
durante la instrucción, si procede variar la graduación de la
sanción realizada por el acuerdo de inicio, que fijó la sanción
inicial considerando que la UIV había actuado con negligencia
grave al tratar desde 2017 los datos personales biométricos de
categoría especial de sus alumnos (patrón facial) sin disponer
de una excepción del artículo 9.2 del RGPD, así como al haber
implantado un tratamiento no necesario ni proporcional que
vulneraba el principio del artículo 5.1.c) del RGPD.

Tras la instrucción practicada, debe entenderse la UIV actuó de
forma culpable, si bien cabe modificar la graduación de la
sanción realizada al valorar la concurrencia de la circunstancia
del artículo 83.2.b) del RGPD, puesto que:

(i) Por lo que respecta a la graduación de la culpabilidad
concurrente respecto al artículo 9 del RGPD, se
considera que no cabe imputar una actuación
negligente a la UIV hasta septiembre de 2020, por
aplicación del citado Principio de Confianza Legítima.
Pero por otra parte, cabe agravar la calificación de la
negligencia que concurrió a partir de septiembre de
2020, considerándose que la misma debe
considerarse muy grave y no grave, puesto que consta
acreditado que la UIV era consciente de que esta
Agencia había emitido el Informe 0036/2020 en
relación con los sistemas de reconocimiento facial
utilizados en la evaluación de exámenes online,
porque lo incluyó en su EIPD, pero ignorar las
conclusiones relativas a la naturaleza jurídica del
tratamiento. Y consta acreditado también que en la
actualización de la EIPD de 2023 fue también
consciente de que el CEPD había fijado ya su posición
al respecto de esta cuestión en las Directrices 05/2022
del CEPD, pero persistió en mantener una
interpretación contraria al mismo, como lo sigue
haciendo en la actualidad. Todo ello, sin haber
formulado consulta previa a esta Agencia.

(ii) Y por lo que respecta a la graduación de la
culpabilidad concurrente respecto a la infracción del
artículo 5.1.c) del RGPD, se entiende que cabe
imputar una conducta negligente a la UIV desde la
entrada en vigor del RGPD, si bien la misma debe
considerarse grave hasta que en septiembre de 2020,
fue consciente de que el Informe 0036/2020 había
señalado expresamente que un tratamiento
equivalente al suyo no podía considerarse ni necesario
ni proporcional, elevándose al grado de negligencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

109/225

muy grave desde entonces, toda vez que fue
conocedora de este criterio y continuó con el
tratamiento no necesario ni proporcional.

o Por otra parte, señala la UIV que ha acreditado ampliamente su
diligencia al verificar de forma continuada que el tratamiento no
ponía en riesgo los derechos y libertades de los estudiantes. Pero el
análisis de riesgos adjunto a ambas EIPD se considera incompleto, y
sesgado puesto que no prevé todos los riesgos que presenta el
tratamiento para los derechos y libertades de los alumnos, sino que
se enfoca en lograr el éxito de la identificación y la evitación del
fraude.

(i) En relación con la circunstancia de vinculación de la actividad del
infractor con la realización de tratamientos de datos personales, no
es cierta la afirmación que realiza la Universidad de que la misma
esté reservada para las empresas cuyo objeto social y su actividad
principal es el tratamiento de datos personales, siendo aplicable a
de forma más amplia a todas aquellas entidades “cuya actividad se
vincule a la realización de tratamientos de datos personales”, lo cual
es sin duda el supuesto de universidad internacional que se dedica a
la enseñanza.

(ii) Por último, en cuanto a la aplicación de la circunstancia relativa a las
categorías de los datos de carácter personal afectados por la
infracción del artículo 5.1c) del RGPD, la UIV vuelve a mantener que
la UIV no trata datos biométricos, lo que ya se ha descartado en
base a los motivos anteriores.

1.2. Contestación a las alegaciones de 26 de febrero de 2025.

Con fecha de 26 de febrero de 2025 se presenta un nuevo escrito de alegaciones al
acuerdo de inicio por parte de B.B.B., actuando en nombre y representación de la UIV,
en el que se señala que como consecuencia de la producción de hechos nuevos se
formulan nuevas alegaciones solicitando el archivo del expediente.

No obstante, las alegaciones no se basan en hechos nuevos, sino en normativa y
sentencias dictadas en el año 2024 que la universidad considera como un refuerzo de
sus argumentos. En síntesis, se alega lo siguiente:

Primera. – El Expediente Sancionador parte de una premisa errónea: los datos
biométricos para la autenticación/verificación no constituyen una categoría
especial de datos personales al amparo del artículo 9.1 del RGPD.

Se vuelven a reiterar las alegaciones realizadas en el escrito de 21 de mayo de
2024, respecto a que esta Agencia ha interpretado de forma incorrecta el
artículo 9 del RGPD y los considerandos 51 y 91, lo que debe ser desestimado
por los motivos que ya se han indicado, y que han sido confirmados por las
Directrices 05/2022 del CEPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

110/225

Como novedad, se añade que: “Ante la contradicción entre lo dispuesto en el
artículo 9.1 y el considerando 91 del RGPD frente al considerando 51 de esta
norma, no cabe otorgar valor normativo vinculante a este último considerando
lo que señala la jurisprudencia del TTJUE, Así lo declara la Sentencia del TJUE
de 22 de enero de 2022, dictada en el asunto C-165/2020, Air Berlin PLC & Co.
Luftverkehrs KG y Bundesrepublik Deutschland, en la que se ha dejado claro
que las exposiciones de motivos de los actos de la Unión no tienen valor
vinculante, ni pueden ser invocadas para interpretar las disposiciones
normativas en un sentido contrario a su literalidad:

“54. No obstante, y sin que sea necesario que el Tribunal de Justicia
examine las circunstancias que condujeron a la inserción de esa frase
en la exposición de motivos de la Directiva 2008/101, se ha de señalar
que dicha exposición de motivos se contradice con el tenor mismo del
artículo 3 sexies, apartados 4 y 5, de la Directiva 2003/87, que pone de
relieve el vínculo indispensable entre, por un lado, la asignación y la
expedición de los derechos de emisión de la aviación y, por otro, el
ejercicio efectivo de las actividades de aviación enumeradas en el
anexo I de esta última Directiva.”.

No obstante ser cierto que la jurisprudencia del TJUE viene atribuyendo a los
considerandos de directivas y reglamentos europeos un valor normativo no
vinculante, equiparable al de las exposiciones de motivos, no cabe estimar la
alegación formulada, toda vez que:

o La Sentencia de 22 de enero de 2024 parte de un supuesto de hecho
diferente, en el que un considerando se contradecía directamente con un
artículo contenido en la Directiva que regula el régimen de comercio de
derechos de emisión de la UE y de la que la modifica con el fin de incluir las
actividades de aviación (Directivas n.º 2003/87/CE y 2008/101/CE). Lo que no
sucede en el supuesto presente, en el que no hay contradicción alguna entre
los considerandos 51 y 91 y el artículo 9 del RGPD, tal y como se ha señalado
anteriormente.

o Además, en este procedimiento no se está imputando la infracción de
una obligación prevista en un considerando, sino la infracción de su articulado
o disposiciones materiales (artículo 9 del RGPD en este caso), que señalan
que se considera tratamiento de categoría especial el tratamiento de los datos
biométricos dirigidos a la identificación unívoca de las personas, lo que se
interpreta de conformidad con lo previsto en los considerandos, que sirven
como fuente de interpretación del derecho.

De esta manera, conforme a la jurisprudencia del Tribunal de Justicia según la
cual la exposición de motivos de un acto de la Unión no tiene un valor jurídico
vinculante y no puede ser invocada ni para establecer excepciones a las
propias disposiciones del acto de que se trata ni para interpretarlas en un
sentido manifiestamente contrario a su tenor [véanse, en particular, las
sentencias de 19 de junio de 2014, Karen Millen Fashions, C-345/13,
EU:C:2014:2013, apartado 31, y de 25 de noviembre de 2020, Istituto nazionale
della previdenza sociale (Prestaciones familiares para residentes de larga
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

111/225

duración), C-303/19, EU:C:2020:958, apartado 26], por lo que en el caso
invocado por la Universidad se estimó que el operador no podía ampararse en
el considerando 20, cuarta frase, de la Directiva 2008/101 con el fin de
reclamar los derechos de emisión de la aviación porque este se contradecía
con lo previsto en el contradice con el del artículo 3 sexies, apartados 4 y 5, de
la Directiva 2003/87.

Sin embargo, aunque los considerandos de los actos jurídicos comunitarios, no
son jurídicamente vinculantes, pueden tener un valor muy relevante como
fuente de interpretación del derecho para determinar, en palabras del código
civil español, el «espíritu y finalidad» de la norma.

Un ejemplo reciente lo tenemos en Sentencia de 22 de diciembre de 2022
(asunto C-61/21, JP c. Ministre de la Transition Ecologice, Premier Ministre), en
la que el Tribunal de Justicia ha declarado que los particulares no pueden
reclamar responsabilidad patrimonial por los daños derivados de la
contaminación atmosférica constitutiva de un incumplimiento por el Estado de
la Directiva de calidad del aire. Ello es así, dice la Sentencia, porque no se
cumple el primer requisito, consistente en que la norma del Derecho de la
Unión tenga por objeto conferir derechos a los particulares dado que no existe
atribución expresa en los preceptos de la Directiva ni tampoco implícita por
cuanto, «como resulta de sus considerandos», las obligaciones que imponen
«persiguen un objetivo general de protección de la salud humana y del medio
ambiente en general».

Segunda. – El Reglamento de Inteligencia Artificial (RIA) y la Directiva
2024/2831 acreditan que los datos biométricos para la
autenticación/verificación no constituyen una categoría especial de datos
personales.

Además de reiterar todo lo antedicho respecto a la regulación del RIA, se
añade como novedad la afirmación de que la nueva Directiva 2024/2381 de 23
de octubre, relativa a la mejora de las condiciones laborales en el trabajo en
plataformas (en adelante, la “Directiva 2024/2831”). diferencia claramente en su
considerando 41 entre los “datos biométricos con fines de identificación” y los
“datos biométricos con fines de verificación de la identidad de la persona”, y
prohíbe según la universidad únicamente el tratamiento de los primeros.

En concreto, el Considerando 41 de dicha Directiva 2024/2831, señala que:

“Las plataformas digitales de trabajo no deben tratar los datos
biométricos de las personas que realizan trabajo en plataformas con
fines de identificación, a saber, determinando la identidad de la persona
mediante el cotejo de sus datos biométricos con los datos biométricos
almacenados de una serie de personas que figuran en una base de
datos (identificación mediante cotejo múltiple). Esto no afecta a la
posibilidad de que las plataformas digitales de trabajo efectúen una
verificación biométrica, a saber, que verifiquen la identidad de una
persona mediante el cotejo de sus datos biométricos con los datos
proporcionados previamente por esa misma persona (verificación o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

112/225

autenticación unívoca), cuando ese tratamiento de datos personales
sea lícito en virtud del Reglamento (UE) 2016/679 o de otras
disposiciones pertinentes del Derecho de la Unión y del Derecho
nacional”. (el destacado es nuestro)

Vinculado con lo anterior, la universidad considera también que el artículo 7.1.f)
de la Directiva 2024/2831 únicamente limita el tratamiento de los datos
biométricos con fines de identificación, no los datos biométricos con fines de
verificación: “1. Las plataformas digitales de trabajo no podrán, mediante
sistemas automatizados de seguimiento ni sistemas automatizados de toma de
decisiones: […)

No obstante, nuevamente este argumento debe ser inadmitido puesto que:

o El ámbito subjetivo de aplicación de esta Directiva difiere del que
está siendo analizado en el procedimiento sancionador.
o Y tanto el considerando 41 como el art. 7 se remiten al RGPD. Es
esta última norma la que, en último término, ha de tenerse en
consideración para cualquier tratamiento de datos personales y, más en
concreto, para el tratamiento de datos biométricos.

De todo lo expuesto se deduce que cabe desestimar las alegaciones formuladas
por la UIV, confirmando la concurrencia de las dos infracciones que se imputan en
el presente procedimiento, sin perjuicio de las pertinentes modificaciones que se
deban realizar al graduar la sanción a imponer, de acuerdo con lo que se ha
expuesto.

V. Contestación a las alegaciones formuladas frente a la Propuesta de Resolución.

Con fecha de 1 de abril de 2025, la UIV presenta escrito de alegaciones frente a la
Propuesta de Resolución del expediente, que se compone de 88 páginas organizadas
en las siguientes alegaciones (cuestión previa, alegación preliminar y alegaciones
primera a sexta) de la forma que se ha reflejado en el antecedente de hecho décimo
octavo:

o “CUESTIÓN PREVIA: La Propuesta de Resolución vulnera los derechos
fundamentales de VIU: vulneración del principio de aplicación retroactiva de la
ley más favorable y del principio non bis in ídem.

o ALEGACIÓN PRELIMINAR– Síntesis de la controversia suscitada.

o ALEGACIÓN PRIMERA: La Propuesta de Resolución parte de una premisa
errónea: los datos biométricos para la autenticación/verificación (1:1) no
constituyen una categoría especial de datos personales al amparo del artículo
9.1 del RGPD. La conducta imputada a VIU es atípica.

o ALEGACIÓN SEGUNDA: La Propuesta de Resolución vulnera el principio non
bis in idem, establecido en el artículo 39.5 de la LRJSP, ya que imputa la
comisión de dos infracciones por unos mismos hechos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

113/225

o ALEGACIÓN TERCERA: No se ha vulnerado el artículo 9 del RGPD: el
consentimiento prestado por los alumnos es libre y el tratamiento es necesario
por razones de interés público esencial.

o ALEGACIÓN CUARTA. No se ha vulnerado el artículo 5.1.c) del RGPD: el
tratamiento es necesario y proporcional.

o ALEGACIÓN QUINTA. La Propuesta de Resolución vulnera el principio de
culpabilidad: ante las dudas interpretativas que se derivan del RGPD, no cabe
imponer una sanción.

o ALEGACIÓN SEXTA: Incorrecta aplicación de los criterios de graduación de
las sanciones.

Al escrito de alegaciones frente a la propuesta de resolución del expediente se
acompañan 3 documentos:

o Documento 1. Informe del Centro Criptográfico Nacional de diciembre de 2024
sobre Tecnologías Biométricas Seguras para el Control de Acceso.

o Documento 2. Resolución de procedimiento sancionador núm. PS 41/2022,
referente a la Fundación para la Universidad Oberta de Catalunya (en adelante
FUOC), de la Autoridad Catalana de Protección de Datos.

o Documento 3. Informe TESLA “D5.3 – Instruments technical description
and development scheduling” de 29/07/2016. En idioma inglés, sin acompañar
la traducción al español.

Cabe señalar que dentro de cada una de las alegaciones, la UIV plantea argumentos
que luego se van ampliando en las alegaciones posteriores progresivamente, a lo
largo de todo el escrito, recordando varias veces la misma idea y añadiendo algo más.
Por lo que para mayor claridad expositiva y en cumplimiento riguroso del deber de
motivación de las resoluciones procede estructurar la contestación de estas
cuestiones, agrupando todas las alegaciones formuladas para cada argumento.

Por tanto, a los efectos aclaratorios oportunos, se procede a agrupar las alegaciones
realizadas y prueba unida al presente procedimiento en torno a las siguientes 5
cuestiones jurídicas centrales planteadas por la UIV:

1. Cuestiones previas/preliminares:

o La Propuesta de Resolución vulnera los derechos fundamentales de VIU:
vulneración del principio de aplicación retroactiva de la ley más favorable y del
principio non bis in ídem. Contenidas, principalmente, en la CUESTIÓN
PREVIA y ALEGACIÓN SEGUNDA, se insiste en ambas ideas durante todo el
escrito.

o Síntesis de la controversia y hechos probados. En la ALEGACIÒN
PRELIMINAR.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

114/225

1. Sobre la naturaleza jurídica del tratamiento realizado por la UIV: se niega que su
programa trate datos biométricos de categoría especial del artículo 9 del RGPD.

Contenidas principalmente en la CUESTIÓN PREVIA, ALEGACIÓN
PRELIMINAR Y ALEGACIÓN PRIMERA (6 argumentos más conclusiones), si
bien se encuentran referencias a ello a lo largo de todo el escrito.

El grosso de su contenido se encuentra en la ALEGACIÓN PRIMERA,
denominada “La Propuesta de Resolución parte de una premisa errónea: los
datos biométricos para la autenticación/verificación (1:1) no constituyen una
categoría especial de datos personales al amparo del artículo 9.1 del RGPD. La
conducta imputada a VIU es atípica”.

Esta es la cuestión central sobre la que pivotan todas las alegaciones a la
propuesta de resolución, en las que la UIV amplía la fundamentación que se
realizó en torno a esta cuestión en las alegaciones al acuerdo de inicio, en las
que la UIV muestra su disconformidad con el criterio del CEPD y esta Agencia, y
propugna que se interprete que los sistemas biométricos basados en la
autenticación de identidad mediante comparaciones 1.1 no se incluyen en el
concepto del artículo 9 del RGPD, por lo que no son datos de categoría especial.

2. Sobre la concurrencia de una excepción del artículo 9.2 que habilite el
tratamiento de datos de categoría especial.

Contenida en la ALEGACIÓN TERCERA: No se ha vulnerado el artículo 9 del
RGPD: el consentimiento prestado por los alumnos es libre y el tratamiento es
necesario por razones de interés público esencial.

Para evitar reproducciones innecesarias, esta alegación será objeto de
contestación en el Fundamento de Derecho VI, relativo al incumplimiento del
artículo 9 del RGPD, uniéndose a la contestación de las alegaciones realizadas
anteriormente contra el acuerdo de inicio.

3. Alegaciones sobre el incumplimiento del artículo 5.1.c) del RGPD, por no ser el
tratamiento de datos biométricos necesario ni proporcional para cumplir con la
finalidad del tratamiento.

Contenida en la ALEGACIÓN CUARTA. No se ha vulnerado el artículo 5.1.c) del
RGPD: el tratamiento es necesario y proporcional.

Por los mismos motivos expresados en el apartado anterior, esta alegación será
objeto de contestación en el Fundamento de Derecho VII, relativo al
incumplimiento del artículo 5.1.c) del RGPD, uniéndose a la contestación de las
alegaciones realizadas anteriormente contra el acuerdo de inicio.

4. Alegaciones sobre la aplicación del Principio de Culpabilidad.

Agrupadas en la alegación ALEGACIÓN QUINTA. La Propuesta de Resolución
vulnera el principio de culpabilidad: ante las dudas interpretativas que se derivan
del RGPD, no cabe imponer una sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

115/225

5. Alegaciones frente al F.D sobre graduación de la sanción.

Agrupadas en la alegación SEXTA. Incorrecta aplicación de los criterios de
graduación de las sanciones.

5.1. Contestación de las cuestiones previas/preliminares planteadas.

En el presente apartado, se contesta a las alegaciones siguientes:

o La Propuesta de Resolución vulnera los derechos fundamentales de VIU:
vulneración del principio de aplicación retroactiva de la ley más favorable y del
principio non bis in ídem.

o Síntesis de la controversia y hechos probados. En la ALEGACIÒN
PRELIMINAR.

5.1.1. Sobre la vulneración del Principio de aplicación retroactiva de la ley más
favorable.

La UIV encabeza este motivo en su cuestión previa como: “Existencia de hechos
nuevos que conllevan el archivo del Expediente Sancionador: el RIA y la Directiva
2024/2831 disponen que los datos biométricos para la autenticación/verificación (1:1)
no constituyen una categoría especial de datos personales. Aplicación retroactiva de la
ley más favorable”. Y posteriormente, realiza referencias constantes a que deben
aplicarse estas normas más favorables en la alegación primera y a lo largo de todo el
escrito, todas las cuales van a ser objeto de contestación en el presente apartado.

En primer lugar, cabe aclarar que, pese a que la UIV manifieste reiteradamente que
estas alegaciones se basan en hechos nuevos, se ha de hacer constar que no han
acaecido hechos nuevos en relación con las infracciones que se imputan en el
presente expediente, sino que con ello la parte hace referencia a Directivas,
sentencias e informes dictados/emitidos durante el año 2024 que la universidad
considera como un refuerzo de sus argumentos.

Y, además, hay que decir que la UIV había hecho ya referencia a la mayor parte de los
mismos en sus escritos anteriores: (i) al RIA se refirió ya en sus primeras alegaciones
al acuerdo de inicio, que fueron desestimadas en el Fundamento de Derecho III de la
Propuesta; y (ii) a la Directiva 2024/2381 de 23 de octubre, relativa a la mejora de las
condiciones laborales en el trabajo en plataforma en su último escrito de 26 de febrero
de 2025 que fue presentado antes de dictarse la Propuesta de Resolución, cuyas
alegaciones que fueron desestimadas en el apartado 4.2 del Fundamento de Derecho
IV de la Propuesta.

Pese a alegarse por primera vez de forma expresa la presunta vulneración del
Principio de aplicación de la normativa posterior favorable prevista en el Reglamento
de Inteligencia Artificial (RIA) y la Directiva 2024/2831 sobre plataformas digitales de
trabajo, ello ya se había alegado en sus escritos previos de forma implícita, al hacer
referencia a que ambas normas se habían aprobado con posterioridad al RGPD, y
determinaban que cabía excluir del concepto de datos biométricos de categoría
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

116/225

especial a los sistemas de verificación biométrica de identidad, lo que fue ya
desestimado motivadamente por la Propuesta de Resolución.

En sus alegaciones frente a la Propuesta, la UIV insiste en el argumento contenido en
sus escritos previos de alegaciones, indicando que esta Agencia parte de una premisa
errónea al considerar que los sistemas biométricos basados en autenticaciones 1:1
tratan datos biométricos de categoría especial incluidos en el artículo 9 del RGPD,
puesto que ello ha cambiado desde que se ha aprobado el RIA y la Directiva
2024/2831, señalando que:

“Según se desarrollará más adelante, el RIA y la Directiva 2024/2831
disponen que los sistemas “verificación biométrica” no constituyen una
categoría especial de datos personales, al no ser sistemas de alto
riesgo.
Por tanto, la conducta imputada a VIU es atípica, y no puede ser
sancionada, ya que mi representada no ha llevado a cabo un
tratamiento de una categoría especial de datos personales”

Cabe desestimar esta alegación, principalmente, porque ni el RIA ni la Directiva
mencionada han cambiado el concepto de tratamientos de datos personales
biométricos de categoría especial del artículo 9 del RGPD, ni han cambiado el
concepto de tratamientos de alto riesgo contenido en el artículo 35 del RGPD. Cabe
asimismo apuntar que dicha normativa, y la propia parte reclamada en sus
alegaciones, hace referencia a los sistemas que puedan establecerse en aplicación de
los mismos, cuestión distinta a la del tratamiento de datos personales que pueden
realizarse a través de los sistemas implementados amparados por dichas normas y
que, en todo caso, han de cumplir con los requisitos del RGPD y los criterios de
interpretación adoptados por la AEPD como autoridad de control.

La propuesta de resolución ya indicó los motivos por los que se entiende que los
conceptos aplicables a los sistemas biométricos de inteligencia artificial y a las
plataformas digitales de trabajo que contengan sistemas automatizados de verificación
biométrica de los trabajadores no excluyen ni modifican la aplicación del RGPD en la
actualidad. Por lo que cabe remitirnos a los motivos expuestos en la Propuesta de
Resolución y en el Fundamento de Derecho IV de esta Resolución.

En relación con las alegaciones a la Propuesta de Resolución relativas a la aplicación
del RIA cabe decir lo siguiente:

o La exposición del régimen jurídico contenido en el nuevo RIA que se
realiza en las alegaciones coincide, básicamente excepto en las valoraciones
jurídicas que realiza la UIV, con lo que se señaló en la Propuesta de Resolución.

Es cierto que en el nuevo contexto normativo ante el que nos encontramos, el
RIA ha abierto la puerta a que ciertos sistemas de IA puedan ser utilizados,
incluso en el contexto de la educación y formación profesional, siempre y cuando
se cumplan los requisitos que se establecen en el mismo, los cuales no excluyen
en ningún caso, los requisitos que deben cumplirse cuando el empleo de estos
sistemas de IA implique el tratamiento de datos de carácter personal. Es decir, el
uso de sistemas de IA puede ser posible pero respetando lo establecido en tras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

117/225

disposiciones normativas, en concreto, para el caso que nos ocupa, el RGPD si
dichos sistemas de IA realizan un tratamiento de datos personales.

No se niega que el RIA se aplica a los sistemas de inteligencia artificial que se
definen en el artículo 3, respecto de los que el propio Reglamento constituye una
regulación sectorial o específica dirigida a regular sus riesgos, requisitos,
limitaciones, obligaciones, prohibiciones a los que se definen como responsables
de los mismos. Y distingue, como señala la reclamada entre: (i) verificación
biométrica e identificación biométrica en las definiciones contenidas en el artículo
3; (ii) y entre sistemas de IA de carácter general y sistemas de IA alto riesgo en
su artículo 6; (iii) establece que sistemas de IA estarán prohibidos; (iv) e impone
una serie de requisitos y limitaciones que deberán cumplir los sistemas de IA de
alto riesgo, entre los que no están los sistemas de verificación biométrica, toda
vez que es cierto que el Anexo III, apartado 1.a) excluye de la consideración de
alto riesgo “a los sistemas de identificación biométrica remota de IA destinados a
ser utilizados con fines de verificación biométrica cuya única finalidad sea
confirmar que una persona física concreta es la persona que afirma ser”.

Ahora bien, aunque los sistemas biométricos de identificación remota de IA
destinados a la verificación biométrica no se consideren de alto riesgo según
Anexo III. 1.a) del RIA, es necesario aclarar que si se consideran de alto riesgo
en materia de educación y formación según el Anexo III. 3.d) los: “d) Sistemas
de IA destinados a ser utilizados para el seguimiento y la detección de
comportamientos prohibidos por parte de los estudiantes durante los exámenes
en el contexto de los centros educativos y de formación profesional o dentro de
estos a todos los niveles.”

Así pues, se puede decir que, aunque el sistema empleado por la UIV no es un
sistema biométrico de identificación remota de IA de acuerdo con el Anexo
III.1,a), sí sería considerado como de alto riesgo por el RIA, porque encajaría
dentro del supuesto del Anexo 3.d), puesto que la propia UIV reconoce que
emplea IA para detectar las conductas anómalas de los alumnos a los efectos de
evitar el plagio y fraude en los exámenes.

En definitiva, cabe desestimar este argumento, puesto que, aunque es cierto que
ciertos sistemas de IA que empleasen hipotéticamente “sistemas de IA
destinados a ser utilizados con fines de verificación biométrica cuya única
finalidad sea confirmar que una persona física concreta es la persona que
afirma” no se considerarían de alto riesgo para el RIA, ello no se aplicaría al
presente supuesto, puesto que:

 En este caso el software ***APLICACIÓN.1 empleado por la UIV como
método de evaluación de sus alumnos emplea un sistema de IA
considerados de alto riesgo por el Anexo III.3.d) del RIA, lo que implica
que debería cumplir con los requisitos fijados para estos sistemas de alto
riesgo en el mismo, que se señalan en la sección 2 del Capítulo 1, así
como en los artículos 102 a 109 y el artículo 112, y parte del artículo 57
del RIA, cuando entren plenamente en vigor.
 Igualmente, la UIV es responsable del tratamiento de datos personales
biométricos que se realiza a través del software empleado como método
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

118/225

de evaluación, por lo que deberá cumplir también con los requisitos
previstos por el RGPD, para el tratamiento de datos personales de
categoría especial en el artículo 9 del RGPD, y para los tratamientos
considerados de alto riesgo en su artículo 35, así como todos los
Principios y resto de obligaciones previstos en el mismo, como es el caso
del Principio del artículo 5.1.c) del RGPD.

o Por otro lado, no puede acogerse la afirmación de que el RIA haya
modificado el concepto de datos de categoría especial contenido en el artículo 9
del RGPD, puesto que su ámbito de aplicación se ciñe a los sistemas de
inteligencia artificial definidos en el artículo 3 del RIA. Los cuales pueden tener
relación con un determinado tratamiento de datos personales, pero no siempre
tiene que ser así (existen sistemas de IA que no tratan datos personales). Ambas
normas, RGPD y RIA tienen ámbitos de aplicación distintos y coexisten en
paralelo, sin que uno modifique al otro.

Esta cuestión se deja clara en el artículo 2.7 del RIA, y sus Considerandos 39 y
63, sin que exista “antinomia” alguna que haga incompatible ambos regímenes,
como señala la universidad, sino que cada uno tiene su ámbito de aplicación.

El Considerando 39 del RIA, señala expresamente que las prohibiciones de
tratamiento de datos biométricos de categoría especial contenidas en el artículo
9 del RGPD siguen siendo de aplicación: “ Todo tratamiento de datos biométricos y
de datos personales de otra índole asociado al uso de sistemas de IA para la
identificación biométrica, salvo el asociado al uso de sistemas de identificación
biométrica remota en tiempo real en espacios de acceso público con fines de garantía
del cumplimiento del Derecho regulado por el presente Reglamento, debe seguir
cumpliendo todos los requisitos derivados del artículo 10 de la Directiva (UE) 2016/680.
El artículo 9, apartado 1, del Reglamento (UE) 2016/679 y el artículo 10, apartado 1, del
Reglamento (UE) 2018/1725 prohíben el tratamiento de datos biométricos con fines
distintos de la garantía del cumplimiento del Derecho, con las excepciones limitadas
previstas en dichos artículos. En la aplicación del artículo 9, apartado 1, del Reglamento
(UE) 2016/679, el uso de la identificación biométrica remota para fines distintos de la
garantía del cumplimiento del Derecho ya ha sido objeto de decisiones de prohibición por
parte de las autoridades nacionales de protección de datos ”.

Por otro lado, el artículo 2.7 del RIA, declara que ambas normativas deben
coexistir y se aplican de forma independiente, señalando expresamente que: “El
Derecho de la Unión en materia de protección de los datos personales, la intimidad y la
confidencialidad de las comunicaciones se aplicará a los datos personales tratados en
relación con los derechos y obligaciones establecidos en el presente Reglamento. El
presente Reglamento no afectará a los Reglamentos (UE) 2016/679 o (UE) 2018/1725 ni
a las Directivas 2002/58/CE o (UE) 2016/680, sin perjuicio del artículo 10, apartado 5, y
el artículo 59 del presente Reglamento.”

o Cabe aclarar que la argumentación que realiza la UIV parte de varias
premisas erróneas:

(i) La de entender que los conceptos de “sistema biométrico” y
“tratamiento de datos personales biométricos” son equivalentes. Según
la UIV, como su programa emplea un sistema biométrico de IA que no
se considera de alto riesgo por la normativa sectorial que regula los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

119/225

sistemas de inteligencia artificial (RIA) entiende que el tratamiento de
los datos personales biométricos que se realiza no es de alto riesgo.

Lo que ya fue descartado, por la Propuesta de Resolución, toda vez que
un tratamiento puede conllevar varias operaciones de tratamiento que
se ejecuten a través de diversos sistemas, como pueda ser el caso de
un sistema de IA, que deberán cumplir los requisitos que prevea su
normativa sectorial (caso del RIA). Pero esta obligación será adicional a
la que tiene el responsable del tratamiento de datos personales en su
conjunto, que se regula en el RGPD.

(ii) La UIV va más allá, y considera que, por no ser el sistema de IA empleado por su
software ***APLICACIÓN.1 de alto riesgo según el RIA, los datos personales tratados
por la UIV no son de categoría especial, argumento que no puede acogerse al
confundir el concepto de tratamiento de alto riesgo contenido en el artículo 35.4 del
RGPD, con el concepto de datos de categoría especial del artículo 9 del RGPD.
Diferencia que ha sido pormenorizadamente detallada desde el Fundamento de
Derecho II del acuerdo de inicio.

(iii) Y, por último, pese a que afirma que los sistemas de verificación biométrica de
identidad remota que emplean IA están excluidos del ámbito de aplicación del RIA,
pretende también que su régimen se le aplique para considerar que el RIA ha
modificado el RGPD, solicitando que se aplique en este procedimiento sancionador
como norma más favorable, lo que es una contradicción en sí misma

Así pues, en la página 22 de su escrito señala: “Vinculado con estas
previsiones, los apartados 35 y 36 del artículo 3 del RIA establecen una
definición separada de “identificación biométrica”, la cual queda incluida
en su ámbito de aplicación y que constituye una categoría especial de
datos personales; y de “verificación biométrica”, la cual está excluida de
su ámbito de aplicación y no constituye una categoría especial de datos
personales”.

o La cuestión que está planteando la universidad (entender que esta
nueva clasificación del RIA afecta al concepto de datos biométricos de
categoría especial recogido en el artículo 9 del RGPD) está ya resuelta por
el Considerando 63 in fine del RIA, que indica expresamente que: “ El hecho
de que un sistema de IA sea clasificado como un sistema de IA de alto riesgo en
virtud del presente Reglamento no debe interpretarse como indicador de que su uso
sea lícito con arreglo a otros actos del Derecho de la Unión o del Derecho nacional
compatible con el Derecho de la Unión, por ejemplo, en materia de protección de los
datos personales o la utilización de polígrafos y herramientas similares u otros
sistemas para detectar el estado emocional de las personas físicas. Todo uso de
ese tipo debe seguir realizándose exclusivamente en consonancia con los requisitos
oportunos derivados de la Carta y de los actos aplicables del Derecho derivado de
la Unión y del Derecho nacional. No debe entenderse que el presente Reglamento
constituye un fundamento jurídico para el tratamiento de datos personales, incluidas
las categorías especiales de datos personales, en su caso, salvo que el presente
Reglamento disponga específicamente otra cosa.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

120/225

Por tanto, el hecho de que el RIA no haya calificado como de alto riesgo a
los sistemas de inteligencia artificial empleados para verificar la identidad de
las personas basado en procesos de autenticación 1:1, no implica que el
tratamiento de los datos personales que se realice mediante los mismos no
sea considerado de alto riesgo. Porque el tratamiento de datos personales
realizado en el presente supuesto está compuesto de diversas operaciones
de tratamiento que pueden llevarse a cabo por diferentes sistemas
tecnológicos -cuyos requisitos estén regulados por su normativa sectorial
específica, como es el caso de los sistemas de IA regulados en el RIA. Por
tanto, como señaló la Propuesta, una cosa son los requisitos del tratamiento
de datos personales que se realiza por el responsable y otra los requisitos
previstos para cada sistema que se utilice en la normativa sectorial, que son
adicionales a éstos, pero no excluyentes.

o A mayor abundamiento, debe señalarse que la universidad no ha
acreditado que el sistema de reconocimiento facial desarrollado por
***APLICACIÓN.1 utilice inteligencia artificial para realizar el proceso de
verificación de identidad unívoca de los alumnos (tratamiento al que se
refiere el presente expediente), puesto que lo único que consta en el
expediente es el empleo de la citada inteligencia artificial para detectar
conductas anómalas relacionadas con el fraude/plagio del examen (que
encaja en el concepto de alto riesgo del Anexo III.3.d) del RIA, como hemos
dicho). No obstante, y pese a ello, incluso aunque se emplease IA en el
reconocimiento facial, cuestión que como hemos indicado, podría aceptarse,
los requisitos previstos por el RIA para su utilización serían siempre
adicionales a los que prevé el RGPD para poder tratar datos biométricos de
categoría especial. Y ello sin perjuicio de que el mencionado RIA entró en
vigor con posterioridad a que el sistema de reconocimiento facial objeto de
análisis en el presente expediente fuera implementado.

o Por todo lo expuesto, se entiende también que el hecho de que la
Guía sobre prácticas de inteligencia artificial prohibidas por el RIA de 4 de
febrero de 2025 establezca que los sistemas biométricos de verificación
quedan fuera de la prohibición prevista en el artículo 5.1.h) del RIA, es
totalmente independiente y no afecta en modo alguno al hecho de que su
empleo implique el tratamiento de datos biométricos de categoría especial
del artículo 9 del RGPD.

Por otra parte, respecto a la aplicación de la Directiva 2024/2831 relativa a la mejora
de las condiciones laborales en el trabajo en plataformas (en adelante, la “Directiva
2024/2831/ Directiva de plataformas digitales de trabajo”), cabe confirmar los motivos
por los que la Propuesta de Resolución señaló (Fundamento de Derecho 4.2) que esta
Directiva no era ni aplicable al supuesto presente ni excluyente del cumplimiento de
las obligaciones contenidas en el RGPD.

En sus nuevas alegaciones, la UIV apela a la aplicación del considerando 41- que
diferencia entre datos biométricos con fines de identificación y datos biométricos con
fines de verificación de identidad y prohíbe solo los primeros; y al artículo 7-1-f) que
prevé esta prohibición, pero no ofrece argumentos convincentes, toda vez que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

121/225

o Primeramente, la referida Directiva no es aplicable al supuesto
presente, que se refiere al tratamiento consistente en verificar la identidad de
los alumnos matriculados que participan en los exámenes de una universidad
durante su realización, puesto que el ámbito de aplicación de la Directiva se
ciñe a las obligaciones y requisitos que deben cumplir las personas físicas o
jurídicas que prestan servicios de “plataformas digitales de trabajo” ( e
intermediarios) que se definen en el artículo 2.1.a) de la misma, como:
“servicios prestados en parte a distancia por medio de un servicio web o APP,
solicitados por un destinatario, que impliquen la organización del trabajo
realizado por personas físicas a cambio de una contraprestación económica,
y la utilización de sistemas automatizados de seguimiento o de sistemas
automatizados de toma de decisiones”. Este no es el caso ante el que nos
encontramos.

o Además, hay que decir que se trata de una Directiva cuyas
obligaciones no son exigibles directamente a estos responsables, -y que por
tanto no puede aplicarse tampoco para los tratamientos de datos biométricos
de los trabajadores de estas plataformas- hasta que no sea transpuesta por
los estados miembros, lo que deberá realizarse, a más tardar, el 2 de
diciembre de 2026, de acuerdo con lo previsto en el artículo 29 de la misma.

o Por otra parte, cabe aclarar que el artículo 7.1.f) de dicha norma prevé,
además de una limitación/prohibición expresa de que los sistemas
automatizados que contienen estas plataformas puedan tratar datos
biométricos de los trabajadores que prestan servicios en las mismas cuando
se basen en sistemas de identificación biométrica, pero señala expresamente
que los sistemas de verificación biométrica deberán cumplir los requisitos del
RGPD. La cuestión no puede estar más clara:

“Artículo 7 Directiva: Limitaciones al tratamiento de datos personales
mediante sistemas automatizados de seguimiento o sistemas automatizados
de toma de decisiones
1. Las plataformas digitales de trabajo no podrán, mediante sistemas
automatizados de seguimiento ni sistemas automatizados de toma de
decisiones: f) tratar datos biométricos, tal como se definen en el artículo 4,
punto 14, del Reglamento (UE) 2016/679, de una persona que realiza trabajo
en plataformas para establecer su identidad mediante el cotejo de sus datos
con los datos biométricos de personas físicas almacenados en una base de
datos.”

Y esta misma idea se contiene en el Considerando 41 de la Directiva:

(41) “Las plataformas digitales de trabajo no deben tratar los datos biométricos
de las personas que realizan trabajo en plataformas con fines de
identificación, a saber, determinando la identidad de la persona mediante el
cotejo de sus datos biométricos con los datos biométricos almacenados de
una serie de personas que figuran en una base de datos (identificación
mediante cotejo múltiple). Esto no afecta a la posibilidad de que las
plataformas digitales de trabajo efectúen una verificación biométrica, a saber,
que verifiquen la identidad de una persona mediante el cotejo de sus datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

122/225

biométricos con los datos proporcionados previamente por esa misma
persona (verificación o autenticación unívoca), cuando ese tratamiento de
datos personales sea lícito en virtud del Reglamento (UE) 2016/679 o de
otras disposiciones pertinentes del Derecho de la Unión y del Derecho
nacional.”

Por tanto, esta Directiva de plataformas digitales de trabajo dictada en el año
2024 tampoco ha modificado el concepto de datos de categoría especial que
contiene el artículo 9 del RGPD, que sigue vigente e incluyendo tanto los
tratamientos basados en autenticación-verificación 1.1 como los basados en
identificación 1.N, ni los requisitos que son exigibles a los tratamientos de
datos biométricos personales con carácter general.

o Esta Directiva no deroga ni sustituye al RGPD, sino que la
complementa y realiza continuas referencias al mismo para recordar que
deben cumplirse sus obligaciones y limitaciones cuando se traten datos
personales mediante estas plataformas.

Entre otros, y además del citado Considerando 41, el artículo 8 de la Directiva
y el Considerando 43 de la misma, establecen además que las plataformas
digitales de trabajo siempre deben realizar una Evaluación del Impacto de
todos los tratamientos de datos personales que cumpla con los requisitos
exigidos por el RGPD. Y son múltiples las referencias a “Además de los
requisitos dispuestos en el Reglamento (UE) 2016/679, las plataformas
digitales de trabajo deben…” (Art. 9 sobre transparencia, Art 11 sobre revisión
de humanos, artículo 12 sobre seguridad…así como varios Considerandos
como el 44, 48, 49…etc).

En consecuencia, tenemos que ambas normas (RIA y Directiva de plataformas
digitales) tienen un ámbito de aplicación diferente al supuesto presente, y
complementan al RGPD, añadiendo nuevas obligaciones a los responsables de estos
servicios o sistemas que son adicionales a las obligaciones que fija el RGPD para los
tratamientos de datos personales biométricos de categoría especial. No las sustituyen,
ni han derogado los conceptos de tratamiento de alto riesgo y de datos personales de
categoría especial contenidos en los artículos 35.4 y 9 del RGPD, por lo que se
considera que esta alegación es del todo improcedente.

Relacionado con lo anterior, la UIV plantea la vulneración del Principio de aplicación
retroactiva de la ley más favorable del artículo 25 de la CE, y el artículo 26.2 de la Ley
40/2015, de 1 de octubre, de la “LRJSP”, por no aplicar esta Agencia al presente
procedimiento sancionador la norma más favorable contenida en el RIA, conforme a la
cual la conducta de la UIV sería atípica. Y menciona varias Sentencias del Tribunal
Constitucional y Tribunal Supremo en relación con la “retroactividad in bonus” y
normas de derecho internacional en su página 25.

Esta Agencia entiende que es posible aplicar la norma sancionadora más favorable en
aplicación de esta normativa y doctrina, pero precisamente conforme a ella, entiende
que en este caso no concurren los requisitos que permiten su aplicación, toda vez que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

123/225

o Primeramente, la universidad simplifica a uno los 3 motivos por los
que la Propuesta desestimó la aplicación del RIA a este supuesto, al realizar
esa referencia: “Incomprensiblemente, la Propuesta de Resolución, en su
página 101, decide no aplicar las anteriores normas comunitarias al alegar
que la diferenciación entre sistemas biométricos de identificación y sistemas
biométricos de verificación establecida en el RIA “no será aplicable hasta el
2 de febrero de 2025”.

La universidad se ha centrado en descartar solo uno de los 3 motivos por los
que se desestimó la aplicación de los conceptos recogidos en el RIA y
Directiva 2024/2831 a este supuesto, que es el referido a que ambas
normas no habían entrado en vigor cuando se cometieron las infracciones
imputadas, pero la Propuesta desestimó la alegación, principalmente, por los
motivos que se acaban de reiterar. Siendo la entrada en vigor paulatina del
RIA un motivo adicional a estos.

Con ello hacen referencia a la mención contenida en la página 101 de la
Propuesta, que hace referencia a que la diferenciación entre sistemas de IA
de carácter general y alto riesgo recogida en el RIA no sería aplicable hasta
dicha fecha, pero no, como parece plantear la UIV, a que esta diferenciación
sea aplicable al tratamiento de datos personales realizado en el supuesto
presente: “Esta diferenciación no ha entrado en vigor hasta el 2/2/2025,
dado que el artículo 113 del RIA prevé una aplicación paulatina de sus
preceptos, determinando que el capítulo en el que se encuentra definida
dicha diferenciación no será aplicable hasta el 2 de febrero de 2025: “los
capítulos I y II serán aplicables a partir del 2 de febrero de 2025”. Por tanto,
en cualquier caso, no sería aplicable al tratamiento realizado por la UIV con
anterioridad a dicha fecha”.

o Contestando a la alegación de la UIV, cabe señalar que la posibilidad
de aplicar una norma posterior más favorable se deriva de la aplicación del
Principio de Irretroactividad de disposiciones sancionadoras no favorables o
restrictivas de derechos individuales previsto en los siguientes preceptos de
la CE:

Artículo 9.3 CE: “La Constitución garantiza el principio de legalidad, la
jerarquía normativa, la publicidad de las normas, la irretroactividad de las
disposiciones sancionadoras no favorables o restrictivas de derechos
individuales, la seguridad jurídica, la responsabilidad y la interdicción de la
arbitrariedad de los poderes públicos”.

Artículo 25. 1 de la CE: “1. Nadie puede ser condenado o sancionado por
acciones u omisiones que en el momento de producirse no constituyan
delito, falta o infracción administrativa, según la legislación vigente en aquel
momento”.

En el derecho administrativo sancionador, se ha positivizado este Principio
en el Artículo 26 de la LRJSP, cuyo apartado segundo establece los
supuestos en los que será posible aplicar una norma posterior más
favorable, señalando que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

124/225

“Artículo 26. Irretroactividad.
1. Serán de aplicación las disposiciones sancionadoras vigentes en el
momento de producirse los hechos que constituyan infracción
administrativa.
2. Las disposiciones sancionadoras producirán efecto retroactivo en cuanto
favorezcan al presunto infractor o al infractor, tanto en lo referido a la
tipificación de la infracción como a la sanción y a sus plazos de prescripción,
incluso respecto de las sanciones pendientes de cumplimiento al entrar en
vigor la nueva disposición”.

Del referido precepto se deduce que para que sea posible aplicar una norma
diferente a la que estaba vigente en el momento de cometer la infracción,
debería existir una disposición sancionadora posterior al RGPD, que prevea
una tipificación, sanción o plazo de prescripción más favorable que la
prevista en las infracciones del RGPD que se imputan en el presente
procedimiento (tipificadas en el artículo 83.5 del RGPD, por vulneración de
las obligaciones exigibles al responsable de un tratamiento de datos
personales que están previstas en los artículos 9 y 5.1.c) del RGPD).Esto
es, es necesario que se haya producido un cambio normativo de una norma
del mismo o superior rango que modifique la norma previa que estaba
vigente cuando se cometieron los hechos, estableciendo una tipificación,
sanción y/o prescripción más favorable para el infractor que la contenida en
la norma anterior.

Lo que la UIV pretende es que se entienda que el RIA aprobado en 2023
(que no ha entrado parcialmente en vigor hasta el 2-2-25) y la Directiva
2024/2831 han modificado la normativa anterior que estaba vigente cuando
se inició el tratamiento, al cambiar el concepto de datos biométricos
personales contenido en el RGPD. Esto es, se apela a la existencia de dos
normas posteriores más favorables que ya no tipificarían como infracción
este incumplimiento, según su visión, y por ello, entienden que su conducta
debe considerarse como “atípica” por no vulnerar ninguna de las
obligaciones previstas en la normativa.

o No obstante, esta alegación no puede ser admitida, puesto que en el
presente supuesto no ha existido ninguna norma posterior más favorable, ya
que ni el RIA ni la Directiva 2024/2831 han supuesto un cambio normativo
del concepto de datos biométricos de categoría especial del artículo 9 del
RGPD -ni del Principio contenido en el artículo 5.1.c) del RGPD que exige
que el tratamiento de datos personales sea necesario, idóneo y
proporcional- continuando intacta la tipificación, sanción y prescripción
prevista por el RGPD para ambas conductas infractoras.

Puesto que, tal y como se ha explicado: (i) ninguna de estas dos normas es
aplicable al tratamiento de datos personales biométricos que se realiza por
el programa contratado por la UIV para verificar la identidad de los alumnos
que participan en sus exámenes online; (ii) ni han modificado el supuesto de
hecho infractor que se halla tipificado en las infracciones imputadas, puesto
que no ha cambiado el régimen general del RGPD que es aplicable para los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

125/225

tratamientos de datos personales biométricos de categoría especial, y
tratamientos de alto riesgo, por los motivos que se han expresado
anteriormente.

En definitiva, no cabe aplicar la retroactividad favorable porque no ha habido
un cambio normativo del concepto de datos biométricos de categoría
especial contenido en el artículo 9 del RGPD ni del principio de minimización
de datos personales recogido en el artículo 5.1.c) del RGPD, que exige que
los tratamientos sean necesarios y proporcionales, que permanecen
vigentes sin variaciones desde su entrada en vigor y se aplican al supuesto
presente, sin que el RIA ni la Directiva 2024/2831 puedan considerarse
como una norma posterior más favorable en el sentido expresado por los
artículos 9, 25 de la CE y 26.2 de la LPRJSP.

No concurriendo, por tanto, los requisitos que permiten aplicar una norma
sancionadora posterior más favorable en este supuesto, cabe aplicar la regla
«tempus regit actum», «en cuya virtud cada relación jurídica se disciplina por
las normas rectoras al tiempo de su creación»(Sentencia del Tribunal Supremo
de 3 de junio de 1995), a la que se refiere el artículo 26.1 de la LRJSP, que es
la que ha sido aplicada y descrita en la página 101 de la Propuesta, y
considerar que la UIV ha cometido las dos infracciones tipificadas en el RGPD
que se imputan en el presente procedimiento.

5.1.1. Sobre la presunta “Vulneración del principio ne bis in idem: se imputan dos
infracciones a unos mismos hechos”.

En segundo lugar, la UIV formula en su cuestión previa y desarrolla en su alegación
segunda (y hace referencias a lo largo de todo su texto) a que esta Agencia está
infringiendo el Principio Ne bis in Idem al imputar dos infracciones por una misma
conducta, que según la misma es “el uso del software ***APLICACIÓN.1 en la
realización de exámenes por parte de los alumnos”, debiendo desestimarse también
esta alegación, por los siguientes motivos:

o En primer lugar, porque la conducta infractora no es la que se
señala por la UIV, que indica que: “La conducta imputada a mi representada,
según la Propuesta de Resolución, es el uso del software ***APLICACIÓN.1
en la realización de exámenes por parte de los alumnos. Pues bien, a pesar
de estar ante una única conducta, la Propuesta de Resolución pretende
imponer a mi representada dos infracciones distintas, tipificadas ambas en el
artículo 83.5 del RGPD: la vulneración del artículo 9 del RGPD y la
vulneración del artículo 5.1.c) del RGPD”.

Esta afirmación carece de base alguna, puesto que tanto el acuerdo de inicio,
como la propuesta, como la presente resolución se ha señalado claramente
cuales son las conductas infractoras imputadas, sin que sea cierto que exista
una sola conducta imputada ni que ésta sea “el uso del software
***APLICACIÓN.1 en la realización de exámenes por parte de los alumnos”.
No habiéndose hecho esta mención en ningún apartado de la Propuesta, se
trata de una frase sesgada de los hechos probados que no calificaba en modo
alguno las conductas infractoras, sino que describía el tratamiento realizado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

126/225

La UIV, una vez más, confunde conceptos: lo que es la descripción del
tratamiento, y lo que son las obligaciones que le son exigibles al responsable
de dicho tratamiento, cuyo incumplimiento se imputa como infracción. Esta
frase, en cualquier caso, sería la descripción del tratamiento realizado
(aunque tampoco se corresponde exactamente con la descripción realizada
en la Propuesta al analizar esta cuestión) pero no la conducta infractora.

En el presente supuesto se han imputado -como posteriormente señala la
universidad en su página 38- dos infracciones administrativas tipificadas en el
artículo 83.5.a) y e) del RGPD, porque concurren dos conductas infractoras
que se derivan del incumplimiento de dos obligaciones diferentes (las
previstas en el artículo 9 y la del artículo 5.1.c) del RGPD) respecto al mismo
tratamiento de datos personales biométricos de categoría especial realizado
por la universidad, que es el uso de software ***APLICACIÓN.1 de
reconocimiento facial como método de identificación de los alumnos que
participan en los exámenes online de la universidad.

o Esto es, lo que sucede es que se han incumplido dos obligaciones
que eran exigibles al responsable respecto al mismo tratamiento de datos
personales, pero las conductas tipificadas son las que claramente se
establecen en el Fundamento de Derecho VII de la Propuesta, que tiene su
correlativo en el Fundamento de Derecho VIII de esta Resolución, cuales son:

1. Haber tratado datos personales biométricos de categoría especial
sin disponer de una de las excepciones del artículo 9.2 del RGPD que le
habilitarían a ello. Tipificada en el artículo 83.5.e) del RGPD.

2. Haber realizado un tratamiento de datos personales biométricos
que no es necesario ni proporcional para cumplir con la finalidad del
tratamiento, lo que está tipificado en el artículo 83.5.a) del RGPD, por
vulnerar el principio de minimización de datos contenido en el artículo
5.1.c), que propugna que los datos que se traten han de ser “adecuados,
pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados”.

o La UIV apela a la doctrina del Tribunal Constitucional, sin que se niegue por
esta Agencia que el Principio ne bis in idem sea aplicable a la potestad
sancionadora, pero en este caso, no existe tal vulneración ni hay un
concurso de normas o leyes como dice la UIV. Es más, ni siquiera estamos
ante un supuesto de concurso de infracciones, por lo que tampoco es
aplicable la regla prevista en el artículo 29.5 de la LRJSP que se aplica a
supuestos de concurso de infracciones.

o Y es que no concurre una vulneración del Principio non bis in idem en este
supuesto, puesto que estamos ante un supuesto de pluralidad de
conductas infractoras (“conductas sancionables múltiples” en palabras del
CEPD), puesto que se han incumplido dos preceptos que contenían
diferentes obligaciones previstas para este tipo de tratamientos en el
RGPD, que se recogen en diferentes infracciones y deben sancionarse de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

127/225

forma independiente, de acuerdo con lo que señala el CEPD en sus
Directrices 04/22 sobre criterios de cálculo de multas (Guía de Multas):

3.2 — Conductas sancionables múltiples
44. El principio de pluralidad de acciones (también denominado
«Realkonkurrenz», «factual concurrence» o «coincidental concurrence»)
describe todos los casos no comprendidos en los principios de concurrencia
de delitos (capítulo 3.1.1) o artículo 83, apartado 3, del RGPD (capítulo
3.1.2).
45. La única razón por la que estas infracciones se tratan en una decisión
es por haber llamado la atención de la autoridad de control al mismo tiempo
sin ser la misma u operaciones de tratamiento vinculadas en el sentido del
artículo 83, apartado 3, del RGPD. Por lo tanto, se considera que el infractor
ha infringido varias disposiciones legales y se imponen multas separadas
según el procedimiento nacional, ya sea en la misma decisión de multa o en
decisiones de multas separadas. Además, dado que no se aplica el artículo
83, apartado 3, del RGPD, el importe total de la multa administrativa puede
superar el importe especificado para la infracción más grave (argumentum e
contrario). Los casos de pluralidad de acciones no plantean ninguna razón
para favorecer al infractor con respecto al cálculo de las multas. Sin
embargo, esto se entiende sin perjuicio de la obligación de seguir
respetando el principio general de proporcionalidad.(…)”

o La UIV cita sentencias que declaran la infracción de este Principio
cuando se han ejercido potestades sancionadoras de la administración, que
no se refieren a “supuestos análogos al presente”, como la misma señala:

Así pues, la Sentencia núm. 1146/2023 del Tribunal Supremo de 18
septiembre (recurso casación 5223/2021) analizó el conflicto de leyes
concurrente entre dos preceptos de la Ley general tributaria, no analizó los
preceptos que se imputan en este procedimiento.

La Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia
Nacional, de 3 de septiembre de 2007, dictada en el recurso núm. 85/2006
(JUR\2007\276044) en la que se falló en contra de esta Agencia por
vulneración del Principio ne bis in idem, que se refiere a infracciones distintas
a las imputadas (por haber comunicado unos datos de carácter personal y
considerar que ello constituía a la vez una cesión injustificada y sin
consentimiento según la propia UIV manifiesta), y en una situación normativa
en la que el RGPD no estaba vigente.

o Y respecto de la Resolución dictada por la Autoridad Catalana de Protección de
Datos (en adelante APDCAT), que se aporta como documento 2, dictada en un
procedimiento sancionador contra la Fundación para la Universidad Oberta de
Cataluña por el uso de un sistema de reconocimiento facial para la realización
de exámenes a distancia por infracción del artículo 5.1.a) y 9 del RGPD, cabe
señalar que la APDCAT es el organismo independiente que garantiza el
derecho a la protección de datos personales en el ámbito del sector público
catalán y el sector privado que realiza funciones y servicios públicos, incluidos
los colegios profesionales y las universidades públicas y privadas en Cataluña.
Cabe asimismo recordar que, además, que una resolución sancionadora es
fruto de la instrucción de un expediente sancionador atendiendo a cada una de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

128/225

las circunstancias presentes en los hechos objeto de análisis y, por tanto, de
sus concretas peculiaridades.
No se sostiene, por lo tanto, que, además de por el distinto ámbito
competencial de las autoridades de control implicadas- la APDCAT y esta
AEPD- las diferentes características de los hechos analizados, quepa alegar
que los criterios hayan de ser los mismos. Por tanto, no cabe extrapolar a este
expediente las conclusiones de esta resolución, toda vez que la tipificación y
graduación de la sanción que realicen otras autoridades de protección como la
autoridad catalana no condiciona el criterio de esta Autoridad, ni el sentido de
la presente resolución, en la medida que no está sujeta a los criterios
interpretativos de otras autoridades de control, respecto de las cuales no existe
una relación de subordinación.

5.1.1. Sobre la “ALEGACIÓN PRELIMINAR– Síntesis de la controversia suscitada”.

Pese a la denominación como “síntesis de la controversia suscitada”, dentro este
apartado se observa que la UIV realiza algunas alegaciones que es preciso desestimar
así como afirmaciones que es necesario aclarar, siguiendo el orden de los 3 puntos
señalados en la misma:

1- Conducta imputada a mi representada: uso del programa
***APLICACIÓN.1 en la realización de exámenes por parte de los alumnos.
Relación de Hechos Probados.

Como ya se ha dicho anteriormente, cabe señalar que la conducta imputada a la
UIV no es el uso de este programa ***APLICACIÓN.1.

Se observa que la UIV no niega la concurrencia de ninguno de los hechos
probados que constan en la Propuesta de Resolución, reconociendo
implícitamente su concurrencia.

La UIV se centra en enumerar ocho afirmaciones que han sido incluidas en los
hechos probados de la propuesta de resolución, a los efectos de advertir que los
mismos contienen consideraciones jurídicas que deben hacerse en la propuesta
de resolución. No obstante, solo concreta por qué considera que se está
realizando tal consideración jurídica en dos de estos supuestos, que debe
contenerse en los fundamentos de derecho (el caso del consentimiento libre, y el
de no concurrir excepciones del artículo 9). Ni tampoco se apela a la norma o
principio que se incumpliría al realizarlas, ni los perjuicios que ello ocasionaría.

Se ha de señalar que el requisito esencial de validez de las resoluciones
administrativas sancionadoras es que consten en la misma los hechos probados
de cada condición del tipo infractor imputado, sus circunstancias de graduación y
responsabilidad…etc. Y ello no ha sido cuestionado en el supuesto presente.

Así pues, se deberán cumplir los requisitos previstos en los artículos 89 y 90 de
la LPACAP.

o Contenido y forma de la Propuesta de Resolución: Artículo 89. 2 y 3
Propuesta de resolución en los procedimientos de carácter sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

129/225

“2. En el caso de procedimientos de carácter sancionador, una vez
concluida la instrucción del procedimiento, el órgano instructor
formulará una propuesta de resolución que deberá ser notificada a los
interesados. La propuesta de resolución deberá indicar la puesta de
manifiesto del procedimiento y el plazo para formular alegaciones y
presentar los documentos e informaciones que se estimen pertinentes.

3. En la propuesta de resolución se fijarán de forma motivada los
hechos que se consideren probados y su exacta calificación jurídica, se
determinará la infracción que, en su caso, aquéllos constituyan, la
persona o personas responsables y la sanción que se proponga, la
valoración de las pruebas practicadas, en especial aquellas que
constituyan los fundamentos básicos de la decisión, así como las
medidas provisionales que, en su caso, se hubieran adoptado. Cuando
la instrucción concluya la inexistencia de infracción o responsabilidad y
no se haga uso de la facultad prevista en el apartado primero, la
propuesta declarará esa circunstancia”.

o Contenido y forma de la Resolución: Artículo 90. 1 de la LPACAP:
Especialidades de la resolución en los procedimientos sancionadores, que
dispone que:

“1. En el caso de procedimientos de carácter sancionador, además del
contenido previsto en los dos artículos anteriores, la resolución incluirá
la valoración de las pruebas practicadas, en especial aquellas que
constituyan los fundamentos básicos de la decisión, fijarán los hechos y,
en su caso, la persona o personas responsables, la infracción o
infracciones cometidas y la sanción o sanciones que se imponen, o bien
la declaración de no existencia de infracción o responsabilidad.”

Si bien es cierto que no está prohibido expresamente por el ordenamiento
jurídico, se deduce de la estructura formal de una propuesta o resolución que las
consideraciones jurídicas deben realizarse -y se han realizado de forma extensa
y exhaustiva- en los Fundamentos de Derecho de la Propuesta y esta
Resolución, que incluso ha dedicado un fundamento independiente y exclusivo a
valorar la prueba, en el que se explica con detalle porqué se ha considerado
probado cada aspecto relacionado en los hechos probados, al que se unen los
Fundamentos de Derecho dedicados al incumplimiento de cada obligación,
donde se motivan jurídicamente estas cuestiones.

En este supuesto, se entiende que no se han realizado consideraciones o
valoraciones jurídicas (emitiendo opiniones o interpretando las normas) dentro
de los hechos probados de la propuesta de resolución, sino que se han
enumerado las evidencias que acreditan la concurrencia de hechos constitutivos
que determinan cada tipo infractor, o la no concurrencia de hechos impeditivos,
extintivos o excluyentes de la responsabilidad. Y para mayor claridad expositiva,
en estos dos supuestos que menciona la UIV, se ha hecho referencia al
concepto jurídico asociado o infracción al que se refieren.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

130/225

Se ha de decir que no existe norma alguna que prohíba introducir conceptos
jurídicos asociados a las evidencias que se relacionan en los hechos probados, y
que ello puede ser, incluso, aconsejable en aras de cumplir con el Principio de
Transparencia y claridad de los procedimientos administrativos, para facilitar una
mayor comprensión al interesado, si lo que se pretende es, como en el supuesto
presente, incluir en un solo hecho probado todas las referencias que se refieran
al incumplimiento de un determinado requisito, por lo que se hace mención a la
denominación de un concepto jurídico como el de “consentimiento libre”, cuya
concurrencia se motivará posteriormente en los Fundamentos de derecho, como
es el caso. Y por lo que respecta al supuesto de la no acreditación de
excepciones que habiliten el tratamiento de datos de categoría especial del
artículo 9 del RGPD, lo que se está declarando probado es una omisión o hecho
negativo que podría ser impeditivo, extintivo o excluyente de la responsabilidad,
cuya falta de acreditación de su concurrencia es también preciso declarar como
hecho probado. Toda vez que los hechos probados pueden consistir en acciones
y omisiones.

1- Infracciones imputadas a mi mandante.

La UIV relaciona las dos infracciones imputadas, pero no realiza alegaciones en
relación con la tipificación de infracciones, sino con las sanciones propuestas para
las mismas, y manifiesta que “el incremento no está justificado por hechos o
circunstancias nuevas producidas en el procedimiento”. Sin ofrecer ninguna
motivación al respecto.

Al respecto, y sin perjuicio de lo que más adelante se dirá al respecto de la
graduación de las sanciones (alegación sexta), cabe aclarar que la propuesta de
resolución no incrementó la sanción de ambas infracciones, sino que elevó en
50.000 euros la sanción del artículo 5.1.c) del RGPD, por haberse considerado
que concurría una negligencia muy grave en lugar de grave a partir de septiembre
de 2020; pero redujo la sanción inicial fijada en el acuerdo de inicio por el artículo
9 del RGPD en 50.000 euros, al estimar parcialmente la alegación realizada por la
UIV en relación con la duración de la infracción por aplicación del Principio de
Confianza legítima desde septiembre de 2020. En ambos supuestos, se señalaron
extensamente los motivos en base a los cuales se obtenía dicha conclusión.

Cabe desestimar esta alegación, ya que la variación de las sanciones fijada en
propuesta se deduce de la instrucción practicada sin que sea necesario para ello
que se produzcan hechos o circunstancias nuevas producidas durante el
procedimiento, puesto que esta modificación puede deducirse de los hechos que
se produjeron con anterioridad al inicio del procedimiento, cuya concurrencia se
ha constatado a lo largo del procedimiento.

3.Síntesis de los motivos oposición a la Propuesta de Resolución.

No procede contestación a este apartado, toda vez que el mismo se ciñe a
resumir las alegaciones que posteriormente se detallan en las alegaciones
primera a sexta, a los que se va a dar contestación seguidamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

131/225

5.2. Contestación a las alegaciones formuladas en relación con la naturaleza jurídica
de los datos tratados y la atipicidad de la conducta imputada por el artículo 9 del
RGPD.

Esta es la cuestión central, que se trata, principalmente, en la ALEGACIÓN PRIMERA,
si bien se hacen referencias también a esta cuestión a lo largo de todo el escrito: “La
Propuesta de Resolución parte de una premisa errónea: los datos biométricos para la
autenticación/verificación (1:1) no constituyen una categoría especial de datos
personales al amparo del artículo 9.1 del RGPD. La conducta imputada a VIU es
atípica”.

Hay que decir que la UIV no concreta a qué infracción se refiere cuando señala que la
“conducta es atípica”, dado que se ha de recordar que se han imputado dos
infracciones en este procedimiento (artículo 9 y 5.1.c) del RGPD). Pero, en cualquier
caso, cabe aclarar que esta cuestión de la naturaleza jurídica solamente afectaría a la
imputación de una de las dos infracciones: la del artículo 9 del RGPD, que se comete
al tratar datos personales de categoría especial sin disponer de una excepción que lo
habilite; y en su caso, a la aplicación de la agravante de tratamiento de datos de
categoría especial respecto a la infracción del artículo 5.1.c) del RGPD.

Pero en ningún caso ello afectará esta cuestión a la tipificación de la infracción del
artículo 5.1.c) del RGPD, puesto que la conducta infractora se comete en este caso
respecto del tratamiento de todo tipo de datos personales, aunque no sean de
categoría especial, siempre que no se haya justificado que el tratamiento cumple con
el Principio regulado en este precepto, por no ser necesario, idóneo y proporcional
para la finalidad de que se trate.

En sus alegaciones al acuerdo de inicio, así como en los escritos previos de respuesta
presentados durante la fase de actuaciones previas de investigación, la UIV siempre
ha mantenido que su programa no trata datos personales de categoría especial por lo
que no tiene que cumplir con estas obligaciones. Entre sus argumentos, destacaba el
hecho de negar que su programa almacenase plantillas biométricas y el de que se
basaba en un sistema de verificación/autenticación, los cuales fueron desestimados
por la propuesta, que reconoció ambos hechos como probados, determinando, en
síntesis, que ambos implicaban la adopción de medidas de seguridad del tratamiento
que se habían valorado al graduar la sanción a imponer. Pero la adopción de estas
dos medidas de diseño y por defecto no muta la naturaleza jurídica de los datos
biométricos objeto de tratamiento, que desde la entrada en vigor del RGPD, se
consideran categoría especial del artículo 9 del RGPD.

Pues bien, en sus alegaciones a la Propuesta, la UIV no hace referencia al argumento
referido a que el programa ***APLICACIÓN.1 no trata datos biométricos porque no
almacena las plantillas biométricas, ni contradice los argumentos contenidos en la
Propuesta al respecto, que señaló que aunque no exista almacenamiento de los
patrones faciales, el programa genera y explota el patrón facial de los alumnos para
realizar la verificación de identidad, lo que supone realizar operaciones de tratamiento
de datos biométricos de carácter personal del artículo 4.14 del RGPD.

En las nuevas alegaciones, la UIV asume ya que el programa trata datos biométricos
de carácter personal de acuerdo con el artículo 4.14 del RGPD, pero discrepa de que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

132/225

el artículo 9 del RGPD incluya dentro de los datos personales de categoría especial a
los sistemas biométricos basados en verificación/autenticación de identidad basados
en comparaciones 1.1, manteniendo y ampliando su argumentación al respecto de
esta cuestión.

Dentro de esta alegación, se realiza una introducción, y se enumeran 6 motivos en
base a los cuales la UIV discrepa de las conclusiones de la Propuesta de Resolución
respecto a la naturaleza jurídica de los datos tratados por su programa de
reconocimiento facial ***APLICACIÓN.1, ampliando los motivos que había señalado
en sus alegaciones anteriores:

1.–Diferenciación del tratamiento de datos biométricos para la
verificación/autenticación de una persona (1:1) del tratamiento de estos datos
para identificar a una persona (1:n). Esta distinción se ha mantenido tras la
aprobación del RGPD, como así lo ha reconocido la AEPD.
2. – El tratamiento de datos biométricos para la verificación/autenticación (1:1)
está excluida de las categorías especiales de datos personales previstas en el
artículo 9.1 del RGPD.
3. –Prohibición de aplicar retroactivamente normas sancionadoras
desfavorables.
4. – El RIA y la Directiva 2024/2831 acreditan que los datos biométricos para la
autenticación/verificación no constituyen una categoría especial de datos
personales. En todo caso, se deben aplicar retroactivamente estas normas.
5. – La Propuesta de Resolución lleva a cabo una interpretación extensiva “in
malam parte”.
6. – Idoneidad de los sistemas biométricos de verificación y su nula afección a
los derechos fundamentales.

En base a estos 6 motivos la UIV concluye lo siguiente:

“Con base en todo lo expuesto, pueden formularse las siguientes conclusiones:

i. Con anterioridad a la aprobación del RGPD, existía una pacífica
distinción doctrinal entre los datos biométricos para la verificación (1:1) y
para la identificación (1:n). Esta distinción había sido reconocida por el
Dictamen 3/2012. El RGPD mantiene esta distinción en la definición del
concepto de “datos biométricos” que se establece en su artículo 4.14).

ii. Partiendo de la anterior distinción, y de acuerdo con la literalidad
del artículo 9.1 del RGPD, solamente constituyen una categoría especial
de datos personales los datos biométricos para la identificación (1:n), no
los datos biométricos para la verificación. Esta interpretación había sido
mantenida por esta Agencia en el Informe 36/2020 y en la Guía AEPD
2021.

iii. En las Directrices 5/2022 del CEPD y en la Guía AEPD 2023 se
cambió el anterior criterio. En concreto, se sostuvo que ambas finalidades
constituyen una categoría especial de datos personales, de acuerdo con
el considerando 51 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

133/225

No obstante, para alcanzar esta conclusión se lleva a cabo una
interpretación del mencionado considerando que es contraria a la
literalidad del artículo 9.1 del RGPD, atribuyendo a dicho considerando
un valor normativo que no tiene y que, además, es contra legem.

iv. El RIA y la Directiva 2024/2831 acreditan que los datos
biométricos con una finalidad de verificación no constituyen una categoría
especial, ya que califican a estos sistemas biométricos como sistemas de
bajo o nulo riesgo.

v. Al contrario de lo sostenido por la Propuesta de Resolución,
procede legalmente la aplicación de las anteriores normas a esta
controversia, ya que así lo impone el principio de aplicación de la ley más
favorable, establecido en el artículo 26.2 de la LRJSP; y que deriva del
derecho fundamental a la legalidad penal establecido en el artículo 25 de
la Constitución.

vi. El Tribunal Supremo ha resuelto que los sistemas biométricos con
una finalidad de verificación no afectan a los derechos fundamentales
establecidos en los artículos 15 y 18 de la Constitución. Este
pronunciamiento es coherente con la regulación establecida en el RIA y
la Directiva 2024/2831, que califican estos sistemas como de bajo riesgo.

Por tanto, se rechazan las afirmaciones realizadas por la Propuesta de
Resolución relativas a que estamos ante un tratamiento con un alto
riesgo para los afectados. Esta consideración no cuenta actualmente con
respaldo legal.

vii. El Centro Criptológico Nacional ha argumentado que los sistemas
de verificación son seguros y de bajo riesgo, siendo además el único
método real y efectivo de autenticación que permite asegurar la identidad
de una persona.

Todo ello debe conllevar que se archive el Expediente Sancionador, ya que la
conducta que se imputa a VIU no es típica y se adecúa al ordenamiento
jurídico.”

A continuación, se señalan los motivos por los que cabe desestimar esta alegación, no
estando de acuerdo esta Agencia con las conclusiones a las que llega la universidad.

5.2.1. Sobre la “Diferenciación del tratamiento de datos biométricos para la
verificación/autenticación de una persona (1:1) del tratamiento de estos datos
para identificar a una persona (1:n). Esta distinción se ha mantenido tras la
aprobación del RGPD, como así lo ha reconocido la AEPD”.

Cabe desestimar, una vez más, esta alegación y confirmar que el programa
***APLICACIÓN.1 de reconocimiento facial basado en un sistema biométrico
de verificación-autenticación de identidad que realiza comparaciones 1.1 trata
datos biométricos personales de categoría especial del artículo 9 del RGPD, y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

134/225

por ello, debe cumplir con los requisitos exigibles para este tipo de tratamientos
(excepción que habilite a tratarlos, EIPD por ser de alto riesgo…etc).

Los argumentos contenidos en este apartado no justifican la atipicidad de la
conducta que reclama la UIV, por lo siguiente:

o En primer lugar, la UIV hace referencia a la normativa anterior al RGPD, y a
que los organismos y autoridades en materia de protección de datos
personales reconocían la diferencia entre dos tipos de sistemas biométricos
(autenticación e identificación), recomendando el uso de los primeros. Y cita, el
artículo 4.2 del Reglamento CE nº 2252/2004 del Consejo de 13 de diciembre
de 2004 sobre normas de medidas de seguridad y datos biométricos en los
pasaportes y documentos de viaje; el Informe Working Paper 80 del anterior
Grupo del artículo 29 (precedente del actual CEPD) de 1 de agosto de 2003 y
el informe de la Universidad de Tilburg de abril de 2023, el tantas veces
apelado Dictamen 3/2012 del grupo del artículo 29 que era el argumento
principal de las alegaciones al acuerdo de inicio, el informe nº 36-2020 del
gabinete jurídico de esta Agencia respondiendo a la consulta realizada por una
universidad para un sistema equivalente de exámenes al realizado por la UIV, y
la Guía de Relaciones Laborales publicada en mayo de 2021 por esta Agencia.

Al respecto, cabe señalar que esta Agencia siempre ha reconocido que existen
dos tipos de sistemas biométricos dirigidos a identificar de forma unívoca a las
personas (autenticación e identificación). Lo que se niega es que los sistemas
biométricos de verificación/autenticación de identidad no traten datos
personales biométricos de categoría especial según el artículo 9 del RGPD.

Por tanto, dicha diferenciación es indiferente a los efectos de determinar la
naturaleza jurídica de los datos biométricos que tratan ambos tipos de
sistemas, dado que la plantilla biométrica que se obtiene en ambos casos es
un dato biométrico de carácter personal cuya finalidad es identificar de forma
unívoca a la persona.

o Por otra parte, cabe aclarar que al hacer referencia al informe 36/2020 de esta
Agencia, la UIV omite una parte esencial del mismo, haciendo referencia solo a
la parte de consideraciones realizadas al inicio del mismo, respecto a que con
carácter general se entendía en aquel momento que “los datos biométricos
únicamente tendrían la consideración de categoría especial de datos en los
supuestos en los que se sometan a tratamiento técnico dirigido a la
identificación biométrica (uno a varios), y no en el caso de
verificación/autenticación biométrica (uno a uno)”. Pero la UIV omite que
seguidamente a ello, el informe indica que deberá realizarse una interpretación
caso a caso. Esa parte y las conclusiones, como bien recalcó la propuesta, se
aplican al sistema de la UIV. Por tanto, contrariamente a lo que señala la UIV,
el informe 36/2020 determinó que en el supuesto de control de identidad de
exámenes online basados en reconocimiento facial mediante autenticación se
estaban tratando datos de categoría especial del artículo 9 del RGPD. Cabe
remitirnos a la propuesta que detalla la explicación al respecto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

135/225

o No obstante, si bien la Guía de Relaciones Laborales publicada por esta
Agencia en mayo de 2021, analizó esta cuestión, en aplicación del criterio
contenido en el Dictamen 3/2012 del grupo del artículo 29, indicando
expresamente que:

“No obstante, el RGPD no considera a todo tratamiento de datos biométricos
como tratamiento de categorías especiales de datos ya que el artículo 9.1 se
refiere a los “datos biométricos dirigidos a identificar de manera unívoca a una
persona física”, por lo que, de una interpretación conjunta de ambos preceptos,
se deriva que los datos biométricos solo constituirían una categoría especial de
datos en el caso de que se sometan a un tratamiento técnico específico
dirigido a identificar de manera unívoca a una persona física.(…)”

Lo hizo antes de que el CEPD se pronunciase al respecto, en concreto, en las
Directrices 05/2022 del CEPD, cuando éste fijó su posición al respecto de la
nueva regulación contenida en el artículo 9 del RGPD. Una posición que fue
acogida por esta Agencia en noviembre de 2023 cuando se publicó la Guía de
tratamientos biométricos a la que se refiere la UIV.

Por tanto, y en base a lo anterior, procede, estimar parcialmente las
alegaciones quinta y sexta en relación con la culpabilidad de la conducta y la
graduación de la sanción.

Pero no cabe estimar la alegación primera, toda vez esta estimación afecta al
requisito de culpabilidad pero no a la tipicidad de la conducta considerándose
que la UIV cometió la infracción al tratar datos biométricos de categoría
especial desde la entrada en vigor del RGPD, si bien se le debe exonerar de
culpabilidad por el periodo en el que se considera que la UIV obró en virtud del
Principio de Confianza legítima, aplicando el criterio del Dictamen 3/2019 que
había confirmado esta Agencia en su Guía de Relaciones Laborales de 2021.
Toda vez que, como bien señalaba la Propuesta (pág. 96): “No se está
realizando una aplicación retroactiva- de las normas, puesto que las
obligaciones cuyo incumplimiento se dilucida en este procedimiento fueron
impuestas por el RGPD, y son exigibles desde su entrada en vigor, no desde
que se dictaron las mencionadas Directrices 05/2022 o la Guía de esta
Agencia”.

Como consecuencia de ello, cabe mantener la comisión de la infracción del
artículo 9 del RGPD por haber tratado datos de categoría especial sin disponer
de una excepción), pero reducir el periodo de duración de la infracción
imputada (fijado en la Propuesta a partir de septiembre de 2020) a noviembre
de 2023, con la consiguiente reducción de la sanción a imponer. No obstante,
como se explicará posteriormente, se insiste en que el tratamiento a través de
autenticación también se considera de categoría especial de acuerdo con lo
que fue expuesto en la Propuesta de Resolución.

5.2.2. Respecto a que: “El tratamiento de datos biométricos para la
verificación/autenticación (1:1) está excluida de las categorías especiales de datos
personales previstas en el artículo 9.1 del RGPD”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

136/225

o En este apartado, la UIV expone primeramente los argumentos por los que
entiende que todavía debe aplicarse el criterio anterior contenido en el
Dictamen 3/2019 del grupo del artículo 29, cuestionando la fundamentación
jurídica del actual criterio interpretativo realizado por el CEPD en sus
Directrices 05/2022.

En esta línea, la UIV realiza una exposición de la evolución normativa
producida en materia de regulación del tratamiento de los datos biométricos de
carácter personal y las diversas menciones realizadas a los mismos a través de
diversos informes, guías o directrices que coincide y amplia la realizada por la
Propuesta, y reconoce lo siguiente:

 Primero, que el concepto de datos biométricos personales no se había
regulado en la normativa de protección de datos personales vigente con
anterioridad al RGPD, tal y como se hizo constar en el Fundamento de
Derecho III, indicando: “La Directiva 95/46/CE, del Parlamento Europeo
y del Consejo, de 24 de octubre de 1995, relativa a la protección de las
personas físicas en lo que respeta al tratamiento de datos personales y
a la libre circulación de estos datos, no regulaba expresamente el
tratamiento de los datos biométricos. Esta regulación se ha establecido
por primera vez en el RGPD, cuyo artículo 4.14) establece la siguiente
definición de dato biométrico: “datos personales obtenidos a partir de
un tratamiento técnico específico, relativos a las características físicas,
fisiológicas o conductuales de una persona física que permitan o
confirmen la identificación única de dicha persona, como imágenes
faciales o datos dactiloscópicos”.

De ello se deduce que la interpretación realizada en informes anteriores
de la regulación contenida en la anterior normativa de protección de
datos personales – como el Dictamen 3/2012 del Grupo de Trabajo del
artículo 29 de la Directiva 95/46/CE, sobre evolución de las tecnologías
al que se apela constantemente- no son de aplicación a la nueva
situación normativa reflejada en el RGPD.

 La UIV reconoce también que el concepto de datos biométricos de
carácter personal del artículo 4.14 del RGPD incluye tanto los sistemas
de autenticación como los de identificación, cuando indica que: “Es
esencial destacar que esta definición de “datos biométricos” incluye dos
supuestos distintos, según se desprende del uso de la conjunción “o”:
(i) los que permiten identificar una persona (1:n) y (ii) los que permiten
confirmar la identidad de una persona (1:1)”. Por tanto, está
reconociendo con ello que su programa ***APLICACIÓN.1 verifica la
identidad (permite confirmar la identidad del alumno que se presenta al
examen) mediante comparaciones 1:1, y que ello implica el tratamiento
de datos personales biométricos del artículo 4.14 RGPD.

o A continuación, la UIV hace referencia a que esta Agencia ha cambiado de
criterio en su Guía sobre biométricos de noviembre de 2023, cuestión que ya
ha sido abordada anteriormente, dado que dicha Guía hizo constar
expresamente que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

137/225

“La Agencia Española de Protección de Datos publicó en mayo de 2021
la guía “La Protección de Datos en las Relaciones Laborales”, en la que
se abordaba en el apartado “Los datos biométricos” del capítulo 4.6 el
empleo de biometría en la implementación de los tratamientos de
registro de presencia. En el texto se interpretaba la autenticación
biométrica fuera de las categorías especiales de datos. Sin embargo,
esta interpretación ha sido superada por las Directrices antes citadas,
por lo que la interpretación de esta AEPD ha de adaptarse a las
Directrices del CEPD mencionadas de 26 de abril de 2023.
Del mismo modo, la interpretación que de estos tipos de tratamientos
hacía esta AEPD en su Informe Jurídico 036/2020, basándose, entre
otros documentos, en el Dictamen 3/2012 del Grupo de Trabajo del
Artículo 29 (GT29), sobre la evolución de las tecnologías biométricas, -
publicado en un momento, 2012, en que ni unos ni otros datos
biométricos tenían la consideración de categoría especial (sólo a partir
de la entrada en vigor del GDPR en 2016)-, ha de considerarse
igualmente superada por la nueva posición del CEPD, expuesta en
dichas Directrices 05/2022.
En definitiva, se ha de considerar que, al igual que en el caso de
identificación, la autenticación biométrica es un proceso que implica el
tratamiento de categorías especiales de datos personales”.

o Al respecto, como ya se ha anticipado, cabe incidir en que esta Agencia acogió
el criterio adoptado al respecto por el máximo órgano consultivo experto en
materia de protección de datos de la UE, que es el CEPD, en sus Directrices
05/2022 de 23 de abril, que contiene el primer pronunciamiento realizado por
este nuevo órgano en relación con esta cuestión desde que entró en vigor el
nuevo concepto de datos biométricos de categoría especial regulado por el
RGPD.

En dichas Directrices, el CEPD señala que: ““(…) Si bien ambas funciones —
autenticación e identificación — son distintas, ambas se relacionan con el
tratamiento de datos biométricos relacionados con una persona física
identificada o identificable y, por lo tanto, constituye un tratamiento de datos
personales y, más específicamente, un tratamiento de categorías especiales de
datos personales”.

No es cierto que tal conclusión se realizase sin “mayor argumentación ni
desarrollo” como señala la UIV, pues el CEPD, antes de llegar a tal conclusión,
señala lo siguiente:

“7. FRT cae en la categoría más amplia de tecnología biométrica. La
biometría incluye todos los procesos automatizados utilizados para
reconocer a un individuo mediante la cuantificación de las
características físicas, fisiológicas o de comportamiento (huellas
dactilares, estructura del iris, voz, marcha, patrones de vasos
sanguíneos, etc.). Estas características se definen como «datos
biométricos», porque permiten o confirman la identificación única de esa
persona.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

138/225

8. Este es el caso de las caras de las personas o, más específicamente,
su procesamiento técnico mediante dispositivos de reconocimiento
facial: al tomar la imagen de una cara (una fotografía o video) llamada
«muestra» biométrica, es posible extraer una representación digital de
características distintas de esta cara (esto se llama una «plantilla»).
9. Una plantilla biométrica es una representación digital de las
características únicas que se han extraído de una muestra biométrica y
puede almacenarse en una base de datos biométrica. Se supone que
esta plantilla es única y específica para cada persona y es, en principio,
permanente en el tiempo. En la fase de reconocimiento, el dispositivo
compara esta plantilla con otras plantillas previamente producidas o
calculadas directamente a partir de muestras biométricas, como caras
encontradas en una imagen, foto o video. El «reconocimiento facial» es,
por tanto, un proceso en dos fases: la colección de la imagen facial y su
transformación en una plantilla, seguida del reconocimiento de esta
cara comparando la plantilla correspondiente con una o más plantillas.
10. Como cualquier proceso biométrico, el reconocimiento facial puede
cumplir dos funciones distintas: (autenticación e identificación: párrafo
transcrito por la UIV).
11. En ambos casos, las técnicas de reconocimiento facial utilizadas se
basan en una coincidencia estimada entre plantillas: la que se compara
y la línea de base (s). Desde este punto de vista, son probabilísticos: la
comparación deduce una probabilidad mayor o menor de que la
persona sea efectivamente la persona a ser autenticada o identificada;
si esta probabilidad supera un cierto umbral en el sistema, definido por
el usuario o el desarrollador del sistema, el sistema asumirá que hay
una coincidencia.
12. Si bien ambas funciones — autenticación e identificación — son
distintas, ambas se relacionan con el tratamiento de datos biométricos
relacionados con una persona física identificada o identificable y, por lo
tanto, constituye un tratamiento de datos personales y, más
específicamente, un tratamiento de
categorías especiales de datos personales.”

o Por otra parte, la UIV repite el argumento de que el Considerando 91 del RGPD
está excluyendo los sistemas de autenticación de esta consideración, pero a la
misma vez la UIV critica que esta Agencia tenga en consideración el criterio
interpretativo que señala el Considerando 51 del RGPD, por entender que los
considerandos no tienen carácter vinculante. Con ello se incurre en una
contradicción clara.

Al respecto, cabe remitirnos a la Propuesta de Resolución, que detalla los
motivos por los que se entiende que el Considerando 91 del RGPD no es
aplicable a este supuesto ni se contradice con el Considerando 51 del RGPD, y
porqué este último sí señala claramente que ambos sistemas están
considerados como de categoría especial.

La aplicación del Considerando 51 (referido expresamente a que los datos
biométricos que autentican o identifican son de categoría especial) se deduce
de su tenor literal, al igual que el hecho de que el Considerando 91 no excluye
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

139/225

en ningún caso a estos sistemas de ser datos de categoría especial, puesto
que se refiere a los tratamientos de alto riesgo y a las evaluaciones de impacto.

Ello se deduce del tenor literal de ambos, sin que la universidad justifique los
motivos por los que la interpretación realizada por el CEPD y esta Agencia
están vulnerando el Considerando 91:

“51) Especial protección merecen los datos personales que, por su
naturaleza, son particularmente sensibles en relación con los derechos
y las libertades fundamentales, ya que el contexto de su tratamiento
podría entrañar importantes riesgos para los derechos y las libertades
fundamentales. Debe incluirse entre tales datos personales los datos de
carácter personal que revelen el origen racial o étnico, entendiéndose
que el uso del término «origen racial» en el presente Reglamento no
implica la aceptación por parte de la Unión de teorías que traten de
determinar la existencia de razas humanas separadas. El tratamiento
de fotografías no debe considerarse sistemáticamente tratamiento de
categorías especiales de datos personales, pues únicamente se
encuentran comprendidas en la definición de datos biométricos cuando
el hecho de ser tratadas con medios técnicos específicos permita la
identificación o la autenticación unívocas de una persona física. Tales
datos personales no deben ser tratados, a menos que se permita su
tratamiento en situaciones específicas contempladas en el presente
Reglamento, habida cuenta de que los Estados miembros pueden
establecer disposiciones específicas sobre protección de datos con
objeto de adaptar la aplicación de las normas del presente Reglamento
al cumplimiento de una obligación legal o al cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos
conferidos al responsable del tratamiento. Además de los requisitos
específicos de ese tratamiento, deben aplicarse los principios generales
y otras normas del presente Reglamento, sobre todo en lo que se
refiere a las condiciones de licitud del tratamiento. Se deben establecer
de forma explícita excepciones a la prohibición general de tratamiento
de esas categorías especiales de datos personales, entre otras cosas
cuando el interesado dé su consentimiento explícito o tratándose de
necesidades específicas, en particular cuando el tratamiento sea
realizado en el marco de actividades legítimas por determinadas
asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las
libertades fundamentales.”

“(91)Lo anterior debe aplicarse, en particular, a las operaciones de
tratamiento a gran escala que persiguen tratar una cantidad
considerable de datos personales a nivel regional, nacional o
supranacional y que podrían afectar a un gran número de interesados y
entrañen probablemente un alto riesgo, por ejemplo, debido a su
sensibilidad, cuando, en función del nivel de conocimientos técnicos
alcanzado, se haya utilizado una nueva tecnología a gran escala y a
otras operaciones de tratamiento que entrañan un alto riesgo para los
derechos y libertades de los interesados, en particular cuando estas
operaciones hace más difícil para los interesados el ejercicio de sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

140/225

derechos. La evaluación de impacto relativa a la protección de datos
debe realizarse también en los casos en los que se tratan datos
personales para adoptar decisiones relativas a personas físicas
concretas a raíz de una evaluación sistemática y exhaustiva de
aspectos personales propios de personas físicas, basada en la
elaboración de perfiles de dichos datos o a raíz del tratamiento de
categorías especiales de datos personales, datos biométricos o datos
sobre condenas e infracciones penales o medidas de seguridad
conexas. También es necesaria una evaluación de impacto relativa a la
protección de datos para el control de zonas de acceso público a gran
escala, en particular cuando se utilicen dispositivos optoelectrónicos o
para cualquier otro tipo de operación cuando la autoridad de control
competente considere que el tratamiento entrañe probablemente un alto
riesgo para los derechos y libertades de los interesados, en particular
porque impida a los interesados ejercer un derecho o utilizar un servicio
o ejecutar un contrato, o porque se efectúe sistemáticamente a gran
escala. El tratamiento de datos personales no debe considerarse a gran
escala si lo realiza, respecto de datos personales de pacientes o
clientes, un solo médico, otro profesional de la salud o abogado. En
estos casos, la evaluación de impacto de la protección de datos no
debe ser obligatoria.”

Y, además, tampoco es cierto que, como señala la UIV, se esté otorgando valor
normativo al Considerando 51 del RGPD, puesto que es el artículo 9 del RGPD
el que está definiendo qué tratamientos de datos personales se consideran de
categoría especial (“datos biométricos dirigidos a identificar de manera unívoca
a una persona física”), y por ello, este es el precepto que se entiende
vulnerado. Cabe reiterar al respecto los argumentos contenidos en la
Propuesta de Resolución que señaló el valor interpretativo que la
jurisprudencia ha reconocido a los Considerandos de las exposiciones de
motivos de las normas europeas, y como tal, se ha considerado por el CEPD. Y
así mismo, cabe negar, de nuevo que este Considerando 51 se contradiga con
el Considerando 91 del RGPD, como reiteradamente mantiene la universidad,
por los motivos que se señalaron en la Propuesta.

o Por otra parte, critica la UIV que el CEPD muestre un criterio ambivalente al
declarar la conformidad de los sistemas de autenticación de pasajeros en los
controles de seguridad aeroportuarios en el Dictamen 11/2024, sobre uso del
reconocimiento facial para agilizar el flujo de pasajeros en los aeropuertos.

Pero en ningún modo este Dictamen ha declarado que estos sistemas de
autenticación no sean de categoría especial. De hecho, el segundo apartado
de su resumen ejecutivo señala que

“Como observación preliminar, el Comité recuerda que el uso de datos
biométricos y, en particular, de la tecnología de reconocimiento facial conlleva
riesgos elevados para los derechos y libertades de los interesados. Se refiere
al tratamiento de datos biométricos a los que se concede una protección
especial en virtud del artículo 9 del RGPD”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

141/225

Asimismo, hace referencia a la obligatoriedad de cumplir con los requisitos que
el RGPD prevé para este tipo de datos. Una cosa es señalar que cabe utilizar
sistemas de autenticación o identificación y otra es haber declarado que en
este caso no deban cumplirse los requisitos que el RGPD establece cuando se
tratan datos de categoría especial, y, además, se realizan tratamientos de alto
riesgo.

Dicho dictamen responde una consulta en la que se analiza, exclusivamente, y
como su propia denominación indica, la compatibilidad con Artículos 5 (1) (e) y
(f), 25 y 32 del RGPD. Y, además, se refiere únicamente al supuesto planteado
referido a la implantación de este sistema en aeropuertos, que no es
equiparable al aquí planteado.

Además, no es cierto que exista una contradicción con lo que ha sido señalado
anteriormente por el CEPD, puesto que:

(i) En sus apartados 22 y 23 vuelve a distinguir estos dos sistemas
biométricos, y a indicar, al igual que lo hacen las Directrices 05/22 del
CEPD, que
“23. En ambos casos (es decir, identificación y autenticación), las
técnicas de reconocimiento facial se basan en una correspondencia
estimada entre plantillas; es decir, el que se compara y la base o bases
de referencia. Desde este punto de vista, son probabilísticos: la
comparación deduce una probabilidad mayor o menor de que la
persona sea efectivamente la persona que debe autenticarse o
identificarse; si esta probabilidad supera un determinado umbral en el
sistema, definido por el usuario o el desarrollador del sistema.

(ii) Y habiendo sido el objeto de la consulta formulada, entre otros si los
sistemas de autenticación en el ámbito de los aeropuertos vulneraban
los mencionados preceptos, el Dictamen 11/2024, señala lo siguiente en
su apartado 26.

“26.Como observación preliminar, el Comité recuerda que el uso de
datos biométricos y, en particular, de tecnología de reconocimiento
facial conlleva mayores riesgos para los derechos y libertades de los
interesados. En primer lugar, el tratamiento en cuestión se refiere a los
datos biométricos a los que se concede una protección especial en
virtud del artículo 9 del RGPD. En particular, los datos biométricos
cambian irreversiblemente la relación entre el cuerpo y la identidad
porque hacen que las características del cuerpo humano sean «legibles
por máquina» y estén sujetas a un uso ulterior(…).”

o En definitiva, cabe desestimar esta alegación, pues la UIV insiste en negar lo
evidente en base a un tecnicismo y a un criterio interpretativo que se aplicaba a
la normativa anterior y no a la actual, cuando es obvio que el reconocimiento
facial empleado por el programa ***APLICACIÓN.1 genera y explota plantillas
biométricas con la finalidad de identificar de forma unívoca al alumno que se
presenta y participa al examen. Lo que se deriva de la normativa expuesta, y
de la propia documentación aportada por la propia UIV:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

142/225

 Así pues, consta que la primera de las 5 finalidades del tratamiento que
constan en la EIPD y actualizaciones que fueron realizadas por la UIV
es la de ”verificar que el estudiante que se presenta al examen es quien
dice ser”, lo cual es sin duda una forma de identificarle y comprobar que
solo el alumno registrado en el campus virtual que se da de alta del
examen ha accedido al mismo y está realizando dicho examen,
realizando la comparación de su patrón facial 1.1 cada dos segundos
desde el comienzo al fin del mismo.

 En la descripción de operaciones de tratamiento de la actualización de
la EIPD realizada en 2023, se describe el proceso de autenticación
empleado, subcontratado con la entidad ***APLICACIÓN.1, del que se
desprende sin lugar a dudas que la finalidad del reconocimiento facial
es identificar de forma unívoca al alumno que se presenta y participa en
el examen. Cabe recordar el siguiente fragmento de la página 31 de la
Propuesta:

“Pero en las acciones subencargadas a ***APLICACIÓN.1, se
señala que se trata el patrón facial del alumno y se indica que se
realiza lo siguiente: (i) ***APLICACIÓN.1 (Registro Plataforma):
se indica que el patrón facial es el dato tratado, y que “para
realizar el registro, el alumno debe realizar 3 fotografías de su
rostro (fotografía frontal, fotografía del perfil izquierdo y
fotografía del perfil derecho), y la Plataforma le otorga un código
identificador de usuario”; (ii) y ***APLICACIÓN.1 (Realización de
un examen) consta que se tratan el patrón facial y las
expresiones faciales de la forma siguiente: “Se autentifica al
usuario facialmente a través del código identificador que la
Plataforma asignó al usuario en el registro. En este caso se
autentifica al usuario comparando el patrón facial del interesado
con el asociado al ID (one to one). Una vez el alumno accede, y
realiza el examen se lleva a cabo un control para evitar el fraude
o la copia durante el mismo (revisando si existen
comportamientos o expresiones faciales anómalas, etc.)”

 Además de lo que consta en la EIPD, la descripción del funcionamiento
del programa ***APLICACIÓN.1 contenida en el Documento 1.2
(información proporcionada por el fabricante), o en el ejemplo de
memoria de fin de master aportado como Documento 3.2, no dejan
lugar a dudas de que la finalidad del sistema de reconocimiento facial
es identificar de forma unívoca al alumno, siendo indiferente a efectos
de determinar si se tratan datos biométricos de categoría especial, que
se compare la plantilla biométrica del alumno con la que se crea al
darse de alta del examen, o con la de otros alumnos. Se genera la
misma plantilla biométrica en ambos casos, y la misma se utiliza para
comprobar la identidad del mismo. Y eso lo convierte, según el artículo
9 del RGPD en dato biométrico de categoría especial.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

143/225

o Pero, como también se ha explicado en la Propuesta, no es que esta Agencia
no valore que la UIV haya optado por un sistema biométrico más seguro que
aquellos que se basan en la identificación biométrica 1.N, puesto que ello se ha
tenido en cuenta en el presente expediente sancionador al graduar a la baja la
sanción a imponer. Recordemos que la Propuesta señala que el empleo de los
sistemas de autenticación también precisa disponer de una excepción del
artículo 9 del RGPD y una EIPD del artículo 35 por ser dato de categoría
especial y tratamiento de alto riesgo, pero reconoce que estos sistemas de
autenticación generan menores riesgos para los derechos y libertades de los
interesados que los sistemas de identificación, suponiendo la adopción de una
medida de diseño y por defecto en el tratamiento, que se ha adoptado por el
responsable en el presente supuesto, y ello ha sido considerado al graduar la
sanción a imponer. No cabe duda de en ambos casos se comete una infracción
del artículo 9 del RGPD si no se dispone de una excepción, pero la sanción a
imponer sería mayor de haberse empleado métodos de identificación 1:N, en
lugar de métodos de autenticación 1.1.

5.2.3. Prohibición de aplicar retroactivamente normas sancionadoras
desfavorables.

Esta alegación ya ha sido contestada en el apartado 5.1- referida a que
Agencia estaba realizando una interpretación retroactiva de norma
sancionadora favorable, lo que se desestima.

Se añade aquí por la UIV que los criterios interpretativos de las autoridades
consultivas y de las autoridades de protección no deben aplicarse tampoco
retroactivamente, y hace referencia a dos sentencias del Tribunal Supremo y
una del TSJUE. En concreto, señala lo siguiente:

“La interpretación de la normativa aplicable que lleva a cabo la AEPD vulnera,
además, la prohibición de aplicar retroactivamente la norma sancionadora.
Esta prohibición también resulta de aplicación a las normas meramente
interpretativas y los criterios interpretativos sostenidos por la Administración
(como es el caso de la Guía interpretativa de la AEPD del año 2023 a la que se
ha hecho referencia más arriba).

De este modo, si de entre varias interpretaciones posibles, una norma
interpretativa o la propia Administración mediante sus criterios opta o la propia
Administración mediante sus criterios opta por una interpretación que excluye
otras que resultan más favorables al presunto infractor, la prohibición de
retroactividad “in peius” impide su toma en consideración y, en realidad, lo que
demuestra es que había dudas respecto de su interpretación, con el beneficio
que para el presunto responsable tales dudas pueden comportar.
Como señala la ya citada Sentencia del Tribunal Supremo, de 4 de marzo de
2016, rec. 2163/2013 (ECLI:ES:TS:2016:934), a propósito de las normas
interpretativas (en el caso un Real Decreto del Gobierno en materia de
competencia):
“Dicha exposición [la Exposición de Motivos del Real Decreto] no refleja, como
sostiene la sentencia impugnada, la “voluntad del legislador”, al tratarse de una
norma de rango reglamentario dictada por el Gobierno, en concreto por el
Consejo de Ministros a propuesta del Ministro de Industria, Turismo y
Comercio. Pero, con independencia de ello, la aclaración pretendida por esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

144/225

norma evidencia las dudas interpretativas hasta entonces existentes, lo que
corroboraría la imposibilidad de sancionar una conducta afirmando que es una
conducta contraria a la competencia que pudiera calificarse de “injustificada”.
No debe olvidarse que cuando se quiere dotar de carácter retroactivo a las
normas interpretativas, en cuanto pretenden mantener su vigencia desde la
fecha de vigencia de la norma interpretada, se incurre en un contrasentido,
pues si la norma anterior ha necesitado de interpretación, ello implica
reconocer que no era seguro el alcance de la norma anterior hasta que no fue
interpretada. Y este pretendido efecto retroactivo no puede servir como
fundamento para sancionar una conducta anterior a dicha norma por entender
que, conforme a la normativa anterior, debidamente interpretada a la luz de la
norma posterior, ya era sancionable, pues ello implicaría conceder eficacia
retroactiva de una norma sancionadora, posibilidad expresamente vedada en el
art. 9.3 de la CE y 128 de la Ley 30/1992 (hoy art. 26 LRJSP) (FJ 6)”. (el
destacado es nuestro)
En virtud de dicho argumento, el TS estima el recurso de casación, anula la
sentencia de instancia y la resolución administrativa que impuso la sanción.
Lo mismo ha dicho el Tribunal Supremo respecto de los criterios interpretativos
establecidos por la propia Administración, precisamente por la AEPD. Así,
siguiendo lo ya señalado en sentencias anteriores, la STS de 27 de febrero de
2012, rec. 747/2009 (ECLI:ES:TS:2012:1299), ante una sanción impuesta por
la Agencia de Protección de Datos, dijo que:
“[…] en materia sancionadora los nuevos criterios, por muy razonables que
estos sean, ya estén contenidos en una norma o deriven de una decisión de la
Administración interpretando las normas, han de desplegar sus efectos hacia el
futuro pero nunca proyectarse hacia actuaciones pasadas que se acomodaran
a los criterios entonces existentes, así como que la relación de los
administrados con la Administración debe sustentarse en un principio de
confianza legitima, confianza que solo puede generarse cuando se tiene
previsibilidad y seguridad en la actuación de la Administración”. (FD 2)
Por ello, confirma la sentencia de la Audiencia Nacional que había sostenido
dicho criterio y desestima el recurso de casación interpuesto por la
Administración General del Estado.
Lo mismo mantiene el TJUE. Así, por ejemplo, en su sentencia de 10 de junio
de 2014, as. C-295/12 P, Telefónica c. Comisión, que, ante una infracción de
abuso de posición dominante, dijo: “… los principios de legalidad de las penas
y de seguridad jurídica (…) pueden oponerse a la aplicación retroactiva de una
nueva interpretación de una norma que define una infracción” (ap. 147); y “así
ocurre, en particular, cuando se trata de una interpretación jurisprudencial cuyo
resultado no era razonablemente previsible en el momento en que se cometió
la infracción…” (ap. 148).
El TEDH parte a este respecto de considerar que la jurisprudencia sobre las
normas punitivas es fuente del Derecho y, como quiera que el artículo 7.1 del
CEDH habla de «Derecho», no de ley, proclama la irretroactividad de los
criterios judiciales desfavorables (STEDH, Gran Sala, de 21 de octubre de
2013, caso del Rio Prada c. España, apartados 91 a 93).”

Cabe estimar este argumento, a los solos efectos de entender que mediante la
Guía de biométricos de noviembre de 2023 esta Agencia acogía el criterio
contenido en el Dictamen 05/2022 de abril de 2023, entendiendo que dicho
criterio interpretativo solo puede aplicarse a partir de la publicación de dicha
Guía por motivos de seguridad jurídica. Por tanto, la duración de la infracción
ha de recortarse respecto a la que fue señalada en el acuerdo de inicio y en la
propuesta de resolución, toda vez que se entiende que la infracción fue
cometida desde la entrada en vigor del RGPD y la conducta es típica, pero
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

145/225

hasta noviembre de 2023 no puede considerarse que la conducta fuera
culpable, concluyendo un error de prohibición justificable en base al Principio
de Confianza legítima.

5.2.4. El RIA y la Directiva 2024/2831 acreditan que los datos biométricos para
la autenticación/verificación no constituyen una categoría especial de datos
personales. En todo caso, se deben aplicar retroactivamente estas normas.

Esta alegación ya ha sido contestada en el apartado 5.1, debiendo
desestimarse en su integridad.

5.2.5. La Propuesta de Resolución lleva a cabo una interpretación extensiva “in
malam parte”.

o Manifiesta la UIV al respecto que:

“En los apartados anteriores se ha justificado que la exégesis del
artículo 9.1 del RGPD, en relación con el artículo 4.14) de esta norma,
nos lleva a concluir que la única interpretación posible que cabe dar al
sentido literal de estos preceptos es que el tratamiento de datos
biométricos para la verificación de personas (1:1) no constituye una
categoría especial de datos personales.
Esta conclusión viene refrendada por el criterio mantenido por esta
Agencia en su Informe 36/2020 y en la Guía AEPD 2021; así como por
los actos legislativos posteriores aprobados por el legislador
comunitario (el RIA y la Directiva 2024/2831).
No obstante, en el supuesto en que cupiesen otras interpretaciones,
debemos insistir de nuevo, como ya hicimos en las alegaciones
presentadas el 26 de febrero de 2025 —sin que este extremo haya sido
respondido por la Propuesta de Resolución—, que estamos ante el
ejercicio de potestades sancionadoras.
En efecto, esta Agencia ejerce el ius puniendi y, consecuentemente,
debe respetar las garantías que el artículo 25 de la Constitución otorga
a mi mandante, entre las que se encuentra el principio de tipicidad y el
principio de taxatividad, que proscriben la interpretación extensiva “in
malam parte” de los tipos infractores.(…)”

Primeramente, cabe aclarar que es la primera vez que la UIV plantea este
argumento, no habiendo hecho referencia alguna a la vulneración del Principio
de legalidad y tipicidad por realizar una presunta interpretación extensiva
dentro de un procedimiento sancionador. No es cierto que la propuesta no
contestase a este argumento porque el mismo no se formuló en estos términos.

o Seguidamente, la UIV menciona también por primera vez dos sentencias que
declaran la prohibición de que los poderes públicos realicen una interpretación
extensiva de las normas cuando se ejercen potestades sancionadoras, como
son la Sentencia del Tribunal Constitucional núm. 52/2003, de 17 de marzo
(ECLI:ES:TC:2003:52), y la Sentencia núm. 462/2023 de la Sala de lo
Contencioso-Administrativo del Tribunal Supremo, de 11 de abril, dictada en el
recurso de casación núm. 7272/2021. y señala que la propia Agencia en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

146/225

informe 36/2020 señalaba que “esta Agencia considera que se trata de una
cuestión compleja, sometida a interpretación, respecto de la cual no se pueden
extraer conclusiones generales”, por lo que, en caso de duda, debió y debe
interpretarla a favor del imputado, y excluir los sistemas de autenticación de la
conducta típica recogida en el artículo 9 del RGPD. Por cuanto que esta
interpretación puede ser admisible cuando se emiten informes o guías pero no
cuando se ejercen potestades sancionadoras.

o Se alega la vulneración del Principio de Tipicidad que forma parte de los
Principios de la Potestad sancionadora regulados en los que vulnere lo previsto
en el artículo 25.1 de la LRJSP y artículo 27.2 de la LRJSP, que señalan lo
siguiente:

“Artículo 25. Principio de legalidad.

1. La potestad sancionadora de las Administraciones Públicas se ejercerá
cuando haya sido expresamente reconocida por una norma con rango de Ley,
con aplicación del procedimiento previsto para su ejercicio y de acuerdo con lo
establecido en esta Ley y en la Ley de Procedimiento Administrativo Común de
las Administraciones Públicas y, cuando se trate de Entidades Locales, de
conformidad con lo dispuesto en el Título XI de la Ley 7/1985, de 2 de abril.

2. El ejercicio de la potestad sancionadora corresponde a los órganos
administrativos que la tengan expresamente atribuida, por disposición de rango
legal o reglamentario.

3. Las disposiciones de este Capítulo serán extensivas al ejercicio por las
Administraciones Públicas de su potestad disciplinaria respecto del personal a
su servicio, cualquiera que sea la naturaleza jurídica de la relación de empleo.

4. Las disposiciones de este capítulo no serán de aplicación al ejercicio por las
Administraciones Públicas de la potestad sancionadora respecto de quienes
estén vinculados a ellas por relaciones reguladas por la legislación de
contratos del sector público o por la legislación patrimonial de las
Administraciones Públicas”.

“Artículo 27. 1º y 2º. Principio de tipicidad.
1. Sólo constituyen infracciones administrativas las vulneraciones del
ordenamiento jurídico previstas como tales infracciones por una Ley, sin
perjuicio de lo dispuesto para la Administración Local en el Título XI de la
Ley 7/1985, de 2 de abril. Las infracciones administrativas se clasificarán por la
Ley en leves, graves y muy graves.

2. Únicamente por la comisión de infracciones administrativas podrán
imponerse sanciones que, en todo caso, estarán delimitadas por la Ley (…)”
o Cabe desestimar esta alegación, entendiendo esta Agencia no está realizando
una interpretación extensiva in malam partem de la conducta tipificada en el
artículo 9 del RGPD, que vulnere el principio de legalidad ni de tipicidad, en los
términos expresados en la LRJSP, porque se entiende que la conducta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

147/225

infractora ha sido delimitada y concretada por el legislador en el artículo 9 del
RGPD, constando en este supuesto que la finalidad del sistema de
reconocimiento facial desarrollado por la UIV tenía como finalidad la
identificación unívoca del alumno, por lo que se cumplía el requisito típico
previsto en el artículo 9 del RGPD, tal y como se hizo constar en la
documentación antes referenciada. Habiendo además aclarado el propio texto
normativo en su Considerando 51 que tanto los sistemas de identificación
como los de autenticación dirigidos a identificar de forma unívoca a las
personas eran datos de categoría especial. Por tanto, puede que la cuestión
pueda ser dudosa en otros supuestos, pero no en el presente, donde está claro
que el programa ***APLICACIÓN.1 genera y explota las plantillas biométricas
de las personas con la finalidad de verificar que el alumno que se presenta al
examen es quien dice ser durante toda la realización del mismo (cada dos
segundos). No es cierto que el RGPD sea vago o impreciso respecto a esta
cuestión, pues el artículo 9 del RGPD no está excluyendo ni haciendo
referencia alguna a sistemas de autenticación o identificación. El requisito
tipificado se ciñe a determinar la finalidad del tratamiento que se hace al
extraer y comparar las plantillas, lo que concurre en este supuesto, y además
se confirma en el citado Considerando 51 que ambos sistemas estarían
incluidos en dicho concepto siempre que se destinen a identificar
unívocamente a una persona. Considerando que tiene valor interpretativo,
como se ha dicho.

o Además, cuando el informe 36/2020 de esta Agencia afirmó que se trataba de
una “cuestión compleja sometida a interpretación” pretendía señalar que no
cabía afirmar categóricamente que todos los supuestos de autenticación
estuvieran excluidos del concepto del artículo 9 del RGPD, puesto en cada
caso debía analizarse en qué consistía la finalidad del tratamiento. Y todo ello
sin perjuicio de que el informe mencionado atendía a una consulta con unos
términos muy concretos y en una circunstancia muy específica- marcada por la
pandemia de COVID-19- antes de que el propio CEPD se posicionara
claramente sobre esta cuestión, tal y como hemos indicado previamente.

o Asimismo, la UIV no ha transcrito la totalidad de este fragmento del informe,
que señala, en realidad, lo siguiente:
““No obstante, esta Agencia considera que se trata de una cuestión
compleja, sometida a interpretación, respecto de la cual no se pueden
extraer conclusiones generales, debiendo atenderse al caso concreto
según los datos tratados, las técnicas empleadas para su tratamiento y la
consiguiente injerencia en el derecho a la protección de datos, debiendo,
en tanto en cuanto no se pronuncia al respecto el Comité Europeo de
Protección de Datos o los órganos jurisdiccionales, adoptarse, en caso
de duda, la interpretación más favorable para la protección de los
derechos de los afectados. (el subrayado es nuestro)

En el presente caso, tal y como hemos señalado, la consultante no
identifica las técnicas de tratamiento facial a la que se refiere la consulta.
No obstante, tal y como ha informado al Gabinete Jurídico la Unidad de
Evaluación y Estudios Tecnológicos, son diferentes las técnicas que se
están empleando en el momento actual:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

148/225

“En el conjunto de consultas planteadas se establecen medidas para la
identificación y control durante la prueba online que abarcan, desde las
menos intrusivas a las más intrusivas:

• Acceso a la imagen y micrófono del alumno, incluyendo
o Grabación de la imagen y sonido del alumno durante el examen
o Visualización del alumno multicámara, desde distintas perspectivas.
o Grabaciones del entorno personal del alumno previa a la prueba y/o
durante la prueba.

• Acceso al sistema del alumno
o Acceso a la pantalla del alumno
o Control del sistema del alumno (al menos bloqueando la ejecución de
aplicaciones distintas a las aplicaciones docentes).
o Grabación de la interacción del alumno con el sistema

• Tratamiento de la información biométrica
o Identificación mediante reconocimiento facial y, además, otros
parámetros biométricos del alumno (como perfil de mecanografía).

o Tratamiento de datos biométricos para perfilar actitudes, gestos,
estados de ánimo o de ansiedad, etc”.

Debiendo tenerse en cuenta que, tal y como se reconoce en la “Segunda
Jornada Online para Compartición de Experiencias de Modelos de
Evaluación” ya citada, las universidades están combinando diferentes
sistemas para acreditar la identidad del alumno y evitar las posibles
suplantaciones de identidad. Además, una de las características de los
sistemas de ***PROGRAMA.1 existentes en el mercado es que
garantizan la identificación del alumno mediante el reconocimiento facial,
evitando la suplantación de su identidad, no solo en el momento inicial,
sino a lo largo del desarrollo de toda la actividad, para lo cual se graba la
misma y se van realizando diferentes capturas que se comparan con la
información biométrica previamente almacenada en sus bases de datos.
Asimismo, dichos sistemas incluyen, tal y como se ha indicado, el
tratamiento de otro tipo de datos biométricos (como las pulsaciones en el
teclado) y de datos no biométricos, como la grabación del entorno en el
que se encuentra el alumno, así como el acceso al micrófono para la
grabación de sonidos.

Por tanto, atendiendo a las circunstancias concretas, que implican el
tratamiento de diferentes tipos de datos biométricos y en los que el
reconocimiento facial no se realiza en un momento determinado sino que
se realiza de manera continuada, lo que puede implicar, asimismo, el
tratamiento de los datos biométricos de un tercero para su comparación
con los del alumno al objeto de identificar una posible suplantación, debe
concluirse que los procesos de reconocimiento facial empleados para la
realización de evaluaciones online implican el tratamiento de datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

149/225

biométricos con la finalidad de identificar unívocamente a una persona
física.”

o Así pues, cabe señalar que en el supuesto presente no cabe duda de que el
programa de ***PROGRAMA.1 empleado por la UIV para las evaluaciones
online de sus alumnos tenía la finalidad de identificar unívocamente a una
persona física a la que se refiere la conducta infractora del artículo 9 del
RGPD. Pero en cualquier caso, tal y como se menciona en dicho informe
36/2020, en caso de duda en materia de protección de datos personales, debe
aplicarse la norma más favorable a los afectados (titulares de los datos
biométricos tratados) y no la norma más favorable al responsable del
tratamiento.

5.2.6. Idoneidad de los sistemas biométricos de verificación y su nula afección
a los derechos fundamentales.

Finalmente, esta alegación primera concluye con unas reflexiones de la UIV
respecto a los riesgos que entrañan los sistemas biométricos, que fueron
detallados en el Fundamento de Derecho II de la Propuesta (2.1), y en contra
de ello, realiza dos alegaciones para negar la concurrencia de estos riesgos,
sin establecer qué conexión tiene esta cuestión con el hecho de que concurra
la conducta infractora del artículo 9 del RGPD, ni con la cuestión controvertida
que se defiende en esta alegación primera.

En cualquier caso, ambas alegaciones son irrelevantes para determinar si
concurre las infracciones imputadas, y deben ser desestimadas por los motivos
siguientes:
o En primer lugar, en contra del párrafo de la pág.55 de la Propuesta(donde se
afirma que los sistemas que tratan datos biométricos de carácter personal
emplean una tecnología que puede ser realmente intrusiva porque puede tener
efectos muy adversos en los valores fundamentales e integridad humana), la
UIV señala que el único pronunciamiento emitido por el Tribunal Supremo al
respecto es para señalar que los sistemas de autenticación biométrica no
vulneran el derecho fundamental a la vida, integridad física y moral, ni a la
intimidad familiar y la propia imagen que se recogen en los artículos 15 y 18 de
la CE.

Se desestima toda vez que la sentencia citada del TS de 2 de julio de 2007
(RJ/2007/6598): (i) analizó otro sistema , de control de horario de empleados,
que nada tiene que ver con el implantado por la universidad para control de
presencia de sus alumnos; (ii) y además, se dictó en el año 2007, durante la
vigencia de la normativa anterior de protección de datos (antigua Directiva
96/45 y la LOPD) en la que los datos biométricos personales no se habían
regulado, y cuando ni siquiera existía un pronunciamiento del anterior grupo
del artículo 29 mediante el Dictamen 3/2019, luego la normativa aplicable no
era equiparable a la actual, donde el nivel de protección es mucho mayor.

Actualmente, cabe confirmar que, como señalan las Directrices 05/2022: “el
tratamiento de datos personales constituye una injerencia en el derecho
fundamental a la protección de los datos personales de conformidad con el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

150/225

artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en
lo sucesivo, «la Carta», y que “el derecho a la protección de los datos
personales a menudo es clave como requisito previo para garantizar otros
derechos fundamentales. La aplicación de FRT es considerablemente
propensa a interferir con los derechos fundamentales más allá del derecho a la
protección de datos personales”. Lo que ha sido puesto de manifiesto, de
nuevo en el Dictamen 11/2024 sobre aeropuertos antes mencionado.

o Se hace mención a que la exposición sobre los riesgos de los tratamientos
biométricos a los que se hace referencia por la Agencia carecen de respaldo
legislativo y no se alinean con la tecnología biométrica actualmente disponible,
que se ha puesto de manifiesto en el nuevo informe emitido por el Centro
Criptográfico Nacional (en adelante, CCN) en diciembre de 2024, sobre
Tecnologías Biométricas Seguras para el control de acceso, que se aporta
como Documento 1, en el que se analiza un tipo de plantillas biométricas de
nueva generación, las RBR (conocidas como plantillas biométricas renovables).

Dicho informe analiza las tecnologías biométricas desde el punto de vista de la
seguridad de información para ser aplicadas a los métodos de control de
acceso de personas, recomendando el uso de sistemas de control de acceso
basados en autenticación mediante la comparación de un concreto tipo de
plantillas biométricas: las llamadas renovables, RBR, por considerar que estas
están dotadas de un “nivel alto de seguridad”.

Así pues, el informe del CCN analiza únicamente las principales
recomendaciones técnicas aprobadas (normas ISO, y ENS) “para evaluar y
garantizar los requisitos de fiabilidad, privacidad y seguridad que la tecnología
biométrica demanda”. Esto es, su objetivo es señalar cuales son más fiables
(idóneas para identificar), cuales protegen mejor la confidencialidad (más
privadas), y cuales son más seguras. Su perspectiva es de seguridad de la
información y no del tratamiento de datos personales que pueda realizarse a
través de la misma, que es un concepto mucho más amplio, como más tarde
se expondrá.

El informe se centra en analizar la ***CERTIFICACIÓN.2:2022, que ha creado
las denominadas plantillas biométricas RBR (renovables), que tienen las
siguientes características:
17. “En concreto, la norma ***CERTIFICACIÓN.2 estandariza
protecciones adicionales de seguridad a las plantillas biométricas
creando las denominadas “Renewables Biometric References
(RBR)” o “plantillas biométricas RBRs” que tienen las características
siguientes:

• Multiplicidad. Sobre cada rostro de una persona pueden obtenerse
una cantidad casi infinita de plantillas "RBRs" distintas.
• Irreversibilidad. Es imposible obtener a partir de una plantilla RBR
los rasgos biométricos de una persona.
No interoperabilidad. Para cada caso de uso se crea una plantilla
“RBR” específica partiendo de los mismos rasgos, pero utilizando
factores de ordenación distintos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

151/225

• Revocabilidad. En caso de compromiso de un sistema, las
plantillas RBR pueden ser revocadas y sustituidas por otras.
• No permanencia. La expresión numérica concreta de una plantilla
“RBRs” se puede modificar mediante cambios en el sistema”
Y partiendo de esta norma ISO, el CCN realiza una interpretación de acuerdo
con la cual extrae un mayor número de características que no se mencionan
en la ***CERTIFICACIÓN.2, sin motivar de donde se han extraído, ni por qué
considera que los sistemas de control de acceso basados en la obtención de
una plantilla biométrica RBR cumplen con lo exigido en materia de protección
de datos por el RGPD y la LOPDGDD. Y en concreto señala que concurren
características:

“Irreversible. La plantilla biométrica RBR resultante no puede invertirse
para obtener los datos brutos originales utilizados (por ejemplo, la
imagen facial del individuo) para su generación. La plantilla se asemeja
al resultado de una función hash y como tal, es irreversible.
• Anónimo. La plantilla biométrica RBR no contiene ningún tipo de
característica biométrica concreta (no representa la distancia entre ojos,
el color de piel, el sexo, etc.), sino únicamente datos derivados de las
mismas.
• Privado. No es posible conocer de qué persona se trata simplemente
teniendo acceso a la plantilla biométrica RBR.
• No interoperable. No es posible emplear la plantilla biométrica RBR
generada para un propósito distinto al establecido cuando se generó.
Cada plantilla biométrica RBR se genera de forma única y asociada al
caso de uso o aplicativo específico.
•Uso controlado: como consecuencia de lo anterior, las plantillas
biométricas RBR son datos con una usabilidad limitada, y sólo pueden
ser utilizadas eficazmente por el individuo al que pertenecen. Incluso en
caso de posible robo, el impacto sobre el usuario es mínimo. La plantilla
por sí sola no da acceso a ningún sistema.
• Renovación: Las características biométricas de una persona son
inmutables, pero las plantillas biométricas RBR obtenidas a partir de
dichas características no lo son. La obtención de la plantilla depende
del algoritmo biométrico utilizado y de los mecanismos utilizados en su
protección, que siempre puede parametrizarse, modificarse y/o
renovarse. Dos algoritmos distintos producirán dos plantillas
biométricas distintas a partir de los mismos datos biométricos.
• Cifrado en origen: Los sistemas biométricos que incluyen la
generación de plantillas RBR, además de obtener la plantilla biométrica,
suele incorporar mecanismos de cifrado, añadiendo una capa adicional
de protección. La plantilla biométrica cifrada sólo puede ser descifrada
por los propios mecanismos que la generaron”.

Cabe desestimar de pleno la aplicación de las conclusiones de este informe del
CCN al supuesto presente, toda vez que:

o En primer lugar, el tratamiento realizado en el presente supuesto no es un
método de control de acceso de personas a recintos públicos o privados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

152/225

Sino que se trata de un método de control de presencia de los alumnos
durante la realización del examen.

o En segundo lugar, y aunque cupiera aplicarlo analógicamente al control de
presencia, lo cierto es que la UIV no emplea este tipo de plantillas
biométricas RBR, lo que se desprende de diversas evidencias contrastadas
a lo largo del procedimiento:

 En primer lugar, se deduce de sus propias manifestaciones en el
presente escrito de alegaciones, puesto que la UIV no afirma que
emplee este tipo de plantillas, sino que alega que cumple con dos de
las características técnicas indicadas en la norma ***CERTIFICACIÓN.2
(irrevocabilidad e interoperabilidad), así como de otras características
no mencionadas en la ***CERTIFICACIÓN.2 sino en el informe CNN
(como extraer el patrón de los puntos de la cara), o incluso a otras
características técnicas del funcionamiento del programa que no se
mencionan ni por la norma ISO ni por el CCN (que las plantillas no se
almacenen y la comprobación dure dos segundos).

Estas características técnicas son medidas de seguridad técnica que se
valoran al graduar la sanción a imponer -como se ha señalado múltiples
veces-pero no implican que el programa emplee una plantilla RBR,
pues para ello es necesario que concurran las otras características
técnicas previstas en la ISO, que son las que realmente marcan la
diferencia con las anteriores: multiplicidad, revocabilidad y no
permanencia. Lo que las diferencia es ser “renovables” como su propio
nombre indica, y que su uso sea controlado, anónimo y privado. Lo que
se deriva de la multiplicidad de creación de plantillas distintas a partir
del mismo rostro, la no permanencia al poderse cambiar, y la
revocabilidad en caso de compromiso del sistema.

 Además, la UIV ha señalado que dispone de la certificación
***CERTIFICACIÓN.1, que es bastante anterior a la
***CERTIFICACIÓN.2 de 2022, que fue cuando se recomendó el uso de
este nuevo tipo de plantillas biométricas renovables. En su escrito de 16
de noviembre de 2023 la UIV, al contestar al requerimiento de
información sobre las medidas de seguridad que se habían aplicado al
tratamiento, señaló que: ““La aplicación ***APLICACIÓN.1 tiene la
certificación ***CERTIFICACIÓN.1, por lo que las medidas de seguridad
son las descritas en dicha norma. Adicionalmente, la VIU está integrada
en el marco de seguridad, organizativo y normativo de ***EMPRESA.3.
Entre las normas de ***EMPRESA.3 aplicables a la seguridad de la VIU
destacan Política de Seguridad de la Información y Norma sobre Uso
de los sistemas de Información”.
 No consta tampoco en la EIPD aportada, ni sus actualizaciones de 2023
y 2024, ni en la documentación aportada por el fabricante (documento
1.2 que señalaba las características técnicas del programa, ni en su
informe de 30 de enero de 2025), ni tampoco se hicieron constar en el
informe de peritaje realizado por la consultora informática de 23 de julio

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

153/225

de 2024que analizó, precisamente, la generación y almacenamiento de
plantillas biométricas por el programa ***APLICACIÓN.1.

 En tercer lugar, hay que aclarar que en el caso hipotético de que
dicho informe fuera aplicable (por tratarse de un método de control de
acceso y emplearse plantillas RBR), únicamente podría tener efectos para
considerar adoptadas parte de las medidas de seguridad técnicas que
corresponde adoptar al responsable de un tratamiento de datos biométricos
de categoría especial, y para valorar la idoneidad del tratamiento para
identificar de forma eficaz a los alumnos. Y no se imputa responsabilidad por
ninguna de estas dos cuestiones en el presente procedimiento.

Así pues, cabe señalar que el ámbito de aplicación de este informe es
analizar la conveniencia de emplear estas plantillas biométricas renovables
a las que se refiere la ***CERTIFICACIÓN.2 desde la perspectiva de la
seguridad de la información de los sistemas de control de acceso. Esto es,
únicamente se refiere a que recomienda emplear estas plantillas biométricas
renovables como una medida de seguridad de la información, pero ello no
sustituye a la necesidad de que el tratamiento de los datos personales que
se realice a través de las mismas deba también cumplir con el resto de los
requisitos y garantías de protección de los derechos y libertades de los
interesados que establece el RGPD.

Señalemos que el CCN circunscribe su ámbito competencial al ámbito
técnico y de seguridad de las tecnologías de la información; un ámbito este,
el de la seguridad, que no se corresponde con el sistema de salvaguardas y
garantías que aplican al derecho a la protección de datos personales. No en
todos los casos en que una tecnología es segura, garantiza la protección de
datos personales, ni todas las medidas para garantizar el derecho a la
protección de datos personales son medidas de seguridad técnica como la
presente.

En su caso, supondrán la adopción de una medida de seguridad de la
información que formará parte de las medidas que deben adoptarse como
último paso dentro de la EIPD, exigido por el artículo 35.7.d) del RGPD que
corresponde determinar en todo tratamiento de alto riesgo como el presente
(“medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos
personales, y a demostrar la conformidad con el presente Reglamento,
teniendo en cuenta los derechos e intereses legítimos de los interesados y
de otras personas afectadas”.

Pero la adopción de estas medidas de seguridad de la información no es
suficiente para cumplir con todos los requisitos exigibles al responsable de
estos tratamientos. Entre otros aspectos, será también necesario justificar
que concurre una excepción que habilite a tratar este tipo de datos
biométricos porque son de categoría especial, y justificar que el tratamiento
realizado por este medio es necesario y proporcional en comparación con
otras alternativas no biométricas que sean menos intrusivas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

154/225

Para que las medidas de seguridad estén realmente orientadas hacia la
protección de datos, su selección e implementación debe concebirse como
un paso más en el marco de la gestión del riesgo integrada en la gestión del
cumplimiento normativo del RGPD y siguiendo los principios de protección
de datos. La protección de los datos personales comienza valorando la
necesidad y proporcionalidad del tratamiento, pasando después por el
establecimiento de la licitud del tratamiento y continúa con la aplicación de
los principios de lealtad, transparencia, finalidad, proporcionalidad, exactitud,
limitación, aplicación de derechos, responsabilidad proactiva y, finalmente y
derivado de los requisitos fijados por la implementación de todos los
anteriores, las medidas técnicas y organizativas de todo tipo, incluyendo las
medidas de seguridad. Y todo ello teniendo en consideración en enfoque de
riesgos determinado el RGPD, esto es, que las medidas que se
implementen al efecto serán para evitar que los riesgos en los derechos y
libertades de los interesados presentes en el tratamiento se materialicen
generando daños en estos.

En ningún caso las medidas de seguridad que se adopten por el
responsable de un tratamiento de datos personales (sea por aplicación del
artículo 32 o del artículo 35 del RGPD) pueden anteponerse o sustituir, a
todo lo que supone la gestión del cumplimiento normativo, atendiendo a los
principios del tratamiento. Y es que las medidas de seguridad del RGPD no
son el punto de partida para la implementación efectiva de la protección de
datos en una entidad, sino la última etapa del proceso.

En este sentido hemos de significar la diferencia entre medidas de seguridad
del RGPD, dentro del marco de un derecho fundamental y derivadas de la
realización de análisis de riesgos y evaluaciones de impacto de protección
de datos (enfocadas en la protección de las personas físicas, con el enfoque
siempre en los riesgos en los derechos y libertades de los interesados
presentes en el tratamiento), de las medidas de seguridad de la información
(que proteger un activo, que es la información, que puede o no contener
datos personales).

No obstante lo anterior, el responsable del tratamiento al adoptar e
implementar medidas de seguridad del RGPD puede integrar medidas de
seguridad de la información, en tanto en cuanto sirvan a la finalidad última
de proteger a las personas en los términos del RGPD y sean compatibles
con el resto de medidas y con un nivel de protección no inferior al necesario
para lograr un nivel de seguridad adecuado al riesgo en atención al
resultado de los análisis de riesgos y de las evaluaciones de impacto
realizadas.

Por lo que se refiere a la seguridad de la información, la misma comprende
el conjunto de técnicas y medidas orientadas a garantizar la
confidencialidad, la integridad y la disponibilidad de la información y los
datos importantes para cualquier organización, sean o no datos personales,
independientemente del formato que tengan.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

155/225

Por el contrario, la protección de datos de carácter personal de las personas
físicas se configura como un auténtico derecho fundamental que encuentra
su fundamento en el artículo 18.4 de la Constitución Española.

Consecuentemente, el derecho a la protección de datos de carácter
personal de las personas físicas es un derecho fundamental y, por tanto,
situado en el máximo nivel de protección jurídica, que actualmente se
encuentra regulado directamente por la normativa comunitaria,
estableciendo el citado RGPD un conjunto de principios, derechos,
obligaciones y una estructura organizativa tendentes a garantizar dicho
derecho fundamental. Dentro de los mismos, la seguridad de la información,
cuando esta contiene datos personales, aparece como una posible medida
más para adoptar e implementar por los de los responsables y encargados
del tratamiento quienes deberán aplicar las medidas técnicas y organizativas
apropiadas de seguridad para garantizar un nivel de seguridad adecuado al
riesgo, que incluirán, entre otros factores “la capacidad de garantizar la
confidencialidad, integridad, disponibilidad y resiliencia permanentes de los
sistemas y servicios de tratamiento” y “la capacidad de restaurar la
disponibilidad y el acceso a los datos personales de forma rápida en caso de
incidente físico o técnico” (artículo 32.2. b) y c) del RGPD).

Por lo tanto, no cabe duda de que la garantía de la seguridad de los datos
personales adquiere una especial trascendencia en cuanto a su protección,
pero sin que ésta se limite exclusivamente al ámbito de la seguridad de
dicha información, en cuanto que la protección de datos personales, que es
un derecho fundamental, tiene un ámbito mucho más extenso que abarca,
como decíamos, a un conjunto de principios, derechos y obligaciones, así
como a medidas técnicas y organizativas de todo tipo, incluyendo las
medidas de seguridad, mucho más amplio.

Y en este sentido, si bien el empleo de estas plantillas RBR supone la
adopción de una medida de seguridad recomendable en el caso de este tipo
de tratamientos, para que se entiendan cumplidas todas las obligaciones del
responsable, previamente deberá acreditarse que se ha analizado que se
cumplían el resto de requisitos previstos en el RGPD: (i) para tratar datos de
categoría especial, hará falta que concurra una excepción del artículo 9.2 del
RGPD; (ii) y al ser tratamientos de alto riesgo, deberá elaborarse una previa
EIPD, que cumpla los requisitos del artículo 35.7 del RGPD, y analice la
necesidad, idoneidad y proporcionalidad del tratamiento, así como todos los
riesgos concurrentes, y prevea las medidas adecuadas al nivel de riesgo en
el caso de que el riesgo sea aceptable. Siendo estas medidas el último paso
a seguir y no el primero, ni el único, pues debe acompañarse de muchas
otras medidas de protección que exceden de aquellas referidas a la
seguridad de la información, como se ha dicho.

 En cuarto lugar, y relacionado con lo anterior, cabe aclarar también que
el CCN no es competente para afirmar con carácter general que un sistema
biométrico determinado cumple los requerimientos de la normativa de
protección de datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

156/225

Como la propia UIV reconoce, el CCN limita su competencia a la seguridad de
los sistemas de tecnologías de la administración, sin ser autoridad de control ni
organismo consultivo en materia de protección de datos personales. Y el
informe se limita a analizar las “tecnologías biométricas seguras para el control
de acceso”, que no es el supuesto ante el que nos encontramos, que analiza
un sistema de control de presencia.

Por tanto, cabe aclarar que la afirmación realizada en el apartado 20 del
informe relativa a “Los sistemas de control de acceso basados en la obtención
de una plantilla biométrica RBR a partir de una determinada característica
biométrica de la persona, cumplen con los exigidos en materia de protección
de datos por el Reglamento General de Protección de Datos y la Ley Orgánica
de Protección de Datos Personales y Garantía de los Derechos Digitales,
gracias a las siguientes características(…)”, debe entenderse referida siempre
a las perspectivas que han sido analizadas de seguridad de la información, y
no a la totalidad de los requisitos y garantías que deben cumplir los
tratamientos de datos biométricos de categoría especial, y en caso de hacerlo,
sería el criterio de esta Agencia, como autoridad de control competente, el que
prevalecería. Y lo mismo cabe señalar respecto a las características que este
informe deduce que determinan que se cumpla con esta normativa de
protección de datos personales, cuyas afirmaciones genéricas no tienen cabida
en todo tipo de tratamientos.

o Por último, debe también puntualizarse que no son ciertas algunas
afirmaciones que la UIV realiza respecto al contenido del informe, sino que las
mismas son interpretaciones partidistas que no se corresponden con la
realidad.

Por un lado, no es cierto que -como afirma la UIV- el CCN concluya en que “los
sistemas de verificación biométrica son los únicos que permiten asegurar la
identidad de una persona”, pues lo que señala en realidad el informe, cuando
analiza la idoneidad de estos sistemas para identificar a las personas es lo
siguiente:

 Primero, en su apartado 29 señala que: “Los sistemas biométricos son
el único mecanismo automático que permite acreditar la identidad real.
Los sistemas basados en contraseñas (“algo que sabes”) o basados en
la tenencia de un dispositivo (“algo que tienes”) no permiten acreditar
que la persona que lleva a cabo el proceso de autenticación es
realmente quien dice ser. Se trata de sistemas basados en la
presunción de que la persona que conoce una contraseña o tiene un
dispositivo es quien dice ser. Sin embargo, el factor de inherencia (“algo
que eres”) está recogido como un factor que, combinado con los
anteriores, aporta una capa más de seguridad y puede ser empleado
en entornos con mayores exigencias. “los sistemas biométricos son el
único mecanismo automático que permite acreditar la identidad real”
porque concurre en ellos el llamado “factor de inherencia” (se basan en
“algo que se es”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

157/225

Por tanto, ni se refiere a sistemas de verificación/autenticación ni dice
que sean los “únicos que permiten asegurar la identidad de una
persona”, sino los únicos mecanismos automáticos porque parten del
factor de inherencia, no descarta los manuales.

 Y en segundo lugar, señala que también existen mecanismos manuales
idóneos para acreditar la identidad: “La acreditación de identidad de
forma manual, con un nivel de equivalencia similar al biométrico,
consiste en la revisión manual por parte de una persona de la
autenticidad del documento de identidad del portador, así como de la
correspondencia del documento con la persona que lo porta. Cualquier
otra alternativa manual que no incluya lo anterior no supone una
alternativa “equivalente””.

Y por otra parte, el CCN no afirma en ningún momento que “el uso de la
biometría conlleva un riesgo nulo o bajo para los derechos fundamentales de
las personas” ni recomienda el uso de la verificación biométrica en general,
sino que en su conclusión 35 señala que “Los mecanismos de control de
acceso basados en la autenticación mediante comparación de una plantilla
biométrica RBR dificultan la falsificación en comparación con otros métodos de
autenticación, proporcionando una capa adicional de seguridad.(…)”,
refiriéndose a los sistemas de autenticación que utilizan estas plantillas RBR, lo
que no es el caso de la UIV.

Por todo lo expuesto, cabe desestimar todos los motivos esgrimidos por la UIV en la
alegación primera (y relacionadas), confirmándose que concurre la conducta infractora
que se imputa en el artículo 9 del RGPD, cumpliéndose el requisito de tipicidad exigido
por el artículo 26.2 del LRJSP respecto de la misma, por confirmarse que la UIV ha
estado tratando datos personales biométricos de categoría especial de sus alumnos
sin disponer de una excepción del artículo 9.2 que le habilite a tratar los mismos. Todo
ello sin perjuicio de lo que se señalará respecto a la estimación parcial de las
alegaciones quinta y sexta, que se refieren a la concurrencia del requisito de
culpabilidad y a la graduación de la sanción a imponer.
5.3. Contestación de la ALEGACIÓN QUINTA. La Propuesta de Resolución vulnera el
principio de culpabilidad: ante las dudas interpretativas que se derivan del RGPD, no
cabe imponer una sanción.

La UIV apela a la ausencia de culpabilidad de la conducta, estructurando sus
argumentos de la siguiente manera:
1. Introducción.
2. Como así lo ha reconocido esta Agencia, es una cuestión controvertida
que el tratamiento de datos biométricos para la verificación constituya una
categoría especial de datos personales.
3. El principio de culpabilidad impide que se pueda sancionar a un sujeto
que haya actuado bajo una interpretación razonable de la norma. La Propuesta
de Resolución vulnera la doctrina del Tribunal Supremo y su reciente
pronunciamiento en el caso de LaLiga.
4. No se puede considerar que VIU ha actuado con una negligencia grave
o muy grave por haber sostenido una interpretación distinta que la mantenida
por la Guía AEPD 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

158/225

5. Conclusiones.

Tal y como se ha avanzado, cabe estimar parcialmente esta alegación quinta respecto
a la comisión de la infracción del artículo 9 del RGPD (y no del artículo 5.1.c),
considerando que: (i) pese a que concurre el requisito de tipicidad de la conducta,
siendo claro el hecho de que el sistema de autenticación biométrica empleado por la
UIV trata datos que están calificados como de categoría especial por el artículo 9 del
RGPD, sin que la UIV haya justificado la concurrencia de una excepción como más
tarde se detallará en el Fundamento de Derecho IV; (ii) sí cabe entender que la UIV no
actuó con culpabilidad hasta que no fue publicada la Guía de Biométricos de esta
Agencia (noviembre de 2023) en la que se asumió que, de acuerdo con el criterio
expresado en las Directrices 05/2022 del CEPD, en abril de 2023, estos sistemas de
autenticación/verificación también estaban incluidos en el concepto del artículo 9 del
RGPD.

Cabe señalar que esta Agencia no comparte la totalidad de las afirmaciones realizadas
al respecto por la UIV, sin que quepa la estimación total de esta alegación toda vez
que:

o No es cierto que el informe 36/ 2020 excluyese a todos los tratamientos
basados en sistemas de autenticación biométrica de la consideración de
categoría especial, puesto que determinó que había que analizar caso por
caso, y analizó los sistemas de autenticación empleados como método de
identificación de los alumnos en los exámenes online de la UNIR (supuesto
equivalente al presente), determinando que en este caso no cabía duda de que
se trataban datos de categoría especial, porque su finalidad era la identificación
unívoca de los alumnos.

o Cabe negar que la Guía de biométricos de 2023 de esta agencia haya llevado
a cabo un “over-ruling” respecto de lo dispuesto en el informe 36/2020 y la
Guía de Relaciones Laborales de 2022, como señala la UIV, puesto que las
guías no tienen carácter normativo ni vinculante, como ya se señaló en la
Propuesta.

o No se considera que la Propuesta incurriera en incongruencia y contradicción
al señalar que las Guías de esta Agencia no son vinculantes pero utilizarlas
como base para fundamentar la infracción, como señala la UIV (págs. 77 y 78),
puesto que la misma señaló en varias ocasiones que no se estaba realizando
una aplicación de la Guía de biométricos -como alegaba la UIV-sino que la
infracción se basaba en la vulneración de la norma contenida en el artículo 9
del RGPD, que definía claramente el tipo infractor, y se interpretaba conforme a
lo previsto en el Considerando 51. No obstante, esta Resolución considera que
no concurrió responsabilidad por el incumplimiento de este precepto hasta
después de publicarse la Guía de noviembre de 2023, como se viene
indicando.

o Tampoco es cierto que el error de prohibición cometido por la UIV al interpretar
incorrectamente el concepto contenido en el artículo 9 del RGPD fuera
invencible, como señala la UIV.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

159/225

De acuerdo con la STS de 28 de diciembre de 2015 (recurso núm. 431/2012)
que cita la UIV, “el error de prohibición se basa en la creencia fundada de que
la conducta observada no comporta reproche sancionador por ser conforme
con el ordenamiento jurídico”, lo cual se aplica al ámbito del derecho
sancionador según señala la UIV.

Como señala la jurisprudencia la apreciación del error invencible depende de la
exigibilidad del deber de informarse que pueda tener el sujeto concreto, que en
este supuesto está bajo el amplio paraguas del Principio de Responsabilidad
Proactiva del responsable de un tratamiento de datos personales, que debe
conocer su tratamiento e informarse de los requisitos exigibles al mismo,
siendo conveniente que en caso de cuestiones de interpretación dudosa o
controvertida consulte las Guías, Directrices y Dictámenes que dicten las
autoridades consultivas o de protección, o en su caso, plantee consultas
previas de acuerdo con el artículo 36 del RGPD.

En el presente caso, concurrió un error de prohibición (sobre la antijuricidad de
la conducta), pero el error no era invencible (al menos, al inicio del tratamiento
y antes de que se publicase la Guía de relaciones laborales de 2021), puesto
que la UIV disponía de un informe de esta Agencia del año 2020 (que conocía
porque lo citó en su EIPD de septiembre de 2020) que había analizado un
tratamiento equivalente al suyo de una Universidad que realizaba exámenes a
distancia empleando sistemas de autenticación biométrica por reconocimiento
facial, y lo calificaba de tratamiento de datos de categoría especial, señalando
además que existían otras alternativas menos intrusivas que permitían realizar
los exámenes online de los alumnos por lo que el tratamiento no era necesario
ni proporcional, y pese a ello, la UIV no formuló una consulta previa ante esta
Agencia para asegurarse de que su tratamiento no vulneraba el RGPD.

No obstante, pese a que no puede considerarse que concurriese un error de
prohibición “invencible” de la UIV que le exonere de responsabilidad, si cabe aceptar el
argumento realizado por la UIV relativo a que el criterio que aplicó la UIV se basó en
una interpretación errónea del concepto contenido en el artículo 9 del RGPD que
estuvo “razonablemente justificada” durante un tiempo: hasta que se dictaron las
nuevas Directrices 05/2022 por el CEPD en abril del 2023 y esta Agencia hizo público
el criterio seguido por el mismo que entendía que los sistemas de autenticación
biométrica también eran datos de categoría especial, asumiéndolo como propio, en la
Guía de biométricos que publicó en noviembre de 2023.

Así pues, tal y como señala la Sentencia número 1263/2024 del TS de 25 de junio
dictada en relación con una sanción impuesta a LALIGA por considerar que realizó una
interpretación errónea favorable del Principio de Transparencia, y como previamente
señaló la jurisprudencia que cita la universidad, y en concreto, la Sentencia dictada por
el Tribunal Supremo el 27 de febrero de 2012, cuando hay un cambio de criterio (como
el que reconoce la Guía de biométricos de 2023):

“en materia sancionadora los nuevos criterios, por muy razonables que
éstos sean, ya estén contenidos en una norma o deriven de una
decisión de la Administración interpretando las normas, han de
desplegar sus efectos hacia el futuro pero nunca proyectarse hacia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

160/225

actuaciones pasadas que se acomodaran a los criterios entonces
existentes, así como que la relación de los administrados con la
Administración debe sustentarse en un principio de confianza legitima,
confianza que sólo puede generarse cuando se tiene previsibilidad y
seguridad en la actuación de la Administración (…)”.

Por tanto, se entiende que cabe eximir de culpabilidad a la UIV únicamente respecto
de la infracción del artículo 9 del RGPD cometida durante este periodo (hasta
noviembre de 2023 en que se publicó la Guía de biométricos de esta Agencia), por
entender que esta obró con un error de prohibición vencible, pero que estaba
razonablemente justificado por no ser previsible hasta entonces que esta Agencia
mantuviera el criterio contrario en virtud del Principio de Confianza legítima de los
actos de la administración.

Lo que se interpreta, además, de la forma más favorable posible al infractor, toda vez
que el criterio por el que quedó aclarada esta cuestión fue en realidad fijado por las
Directrices 05/2022 de abril de 2023 del CEPD, que es el organismo máximo
consultivo a nivel europeo, sin que exista obligación de que las autoridades de
protección se pronuncien al respecto para entender aplicables las normas. No
obstante, en el presente supuesto, habiéndose manifestado la Agencia a favor del
criterio del anterior Dictamen 3/2012 en su anterior Guía de Relaciones Laborales de
2021, se admite que la UIV precisara esperar a que la Agencia se manifestase de
nuevo al respecto, y se computa la comisión de infracción desde entonces.

En consecuencia, de lo expuesto se deduce que cabe estimar parcialmente (y no
totalmente) la presente alegación, con el siguiente alcance y efectos:

o En lo que respecta a la infracción tipificada en el artículo 9 del RGPD, cabe dar
acoger los argumentos de la UIV cuando señala (página 76) que en ningún
caso sería posible imponer una sanción por los hechos ocurridos antes de la
publicación de la Guía de biométricos de noviembre de 2023, en virtud del
Principio de Confianza legítima”, por no ser previsible que esta Agencia
considerase que los sistemas de autenticación biométrica trataban datos de
categoría especial hasta entonces.

Dado que estamos en presencia de una infracción continuada que persiste en
la actualidad, cabe mantener la imputación de la infracción cometida por el
artículo 9 del RGPD, considerándola cometida desde noviembre de 2023 hasta
el momento en que la UIV acredite que cumple con los requisitos previstos en
el RGPD para tratar datos biométricos de categoría especial y de alto riesgo, o
que ha procedido a arbitrar un método de examen online alternativo que no
trate datos biométricos.

Y en consecuencia, cabe reducir el importe de la sanción a imponer por la
comisión de la conducta, en consideración al menor periodo de duración y
número de afectados por la conducta infractora que ha sido acreditado en el
procedimiento, en los términos que se señalaran al contestar a la alegación
sexta. Y considerar que, a partir de dicho momento, concurre negligencia de la
UIV.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

161/225

o Ahora bien, cabe aclarar, de nuevo, que no se observa falta de culpabilidad en
la conducta infractora tipificada en el artículo 5.1.c) del RGPD, puesto que en
relación con la necesidad y proporcionalidad del tratamiento no ha existido
ningún cambio de criterio ni por parte del CEPD ni por esta Agencia que
justifique que la UIV realizase una interpretación razonable errónea basándose
en este Principio de confianza legítima.

Por lo que la infracción del artículo 5.1.c) del RGPD se entiende cometida con
negligencia desde la entrada en vigor del tratamiento.

No obstante, se entiende que cabe rectificar la graduación de la sanción
realizada en la Propuesta respecto a esta infracción del artículo 5.1.c) del
RGPD, estimando que: (i) por una parte, concurrió negligencia grave dada la
falta de diligencia manifestada por la UIV; (ii) y por otra, cabe seguir aplicando
la agravante de tratamiento de datos de categoría especial a esta infracción, si
bien la misma debe computarse desde noviembre de 2023, reduciendo su
duración. Por tanto, cabe reducir igualmente la sanción a imponer por esta
conducta infractora.

5.4. Contestación de la ALEGACIÓN SEXTA sobre:“Incorrecta aplicación de los
criterios de graduación de las sanciones”.

Por las razones expuestas en el párrafo anterior, entendiendo que procede mantener
ambas infracciones administrativas, pero reducir el importe de las multas que fue fijado
inicialmente en el acuerdo de inicio, y en la propuesta de resolución, procede estimar
parcialmente los argumentos contenidos en esta alegación, en los términos que se
detallan a continuación:

o Sobre la graduación de la sanción impuesta por la supuesta infracción del
artículo 9 del RGPD.

1. Valoración de la naturaleza, gravedad y duración de la infracción del artículo
83.2.a) del RGPD:

Si bien no se comparte la totalidad de los argumentos esgrimidos al respecto
por los motivos que ya han sido señalados anteriormente, se estima
parcialmente reducir la duración de la infracción y entenderla cometida a
partir de noviembre de 2023.

Por el mismo motivo, se acuerda reducir también el número de afectados por
la infracción a los que constan matriculados en el curso 2023-24 de acuerdo
con la Diligencia expedida por la instructora de 16 de diciembre de 2024, así
como los que consten matriculados en el curso 24-25 y en los cursos
posteriores en los que la UIV opte por continuar con el tratamiento de estos
datos biométricos sin justificar la concurrencia de una excepción del artículo
9.2 del RGPD.

2. Valoración de la intencionalidad o negligencia en la infracción [artículo 83.2.b)
del RGPD].

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

162/225

De acuerdo con lo expresado anteriormente, se estima parcialmente esta
alegación, considerando que a partir de noviembre de 2023, la UIV no puede
seguir amparando su error de interpretación del concepto del artículo 9 del
RGPD en el Principio de Confianza legítima de que esta agencia consideraba
que el sistema de autenticación biométrica no trataba datos de categoría
especial, porque la Guía de biométricos de noviembre de 2023 manifestó
claramente lo contrario, concurriendo a partir de entonces una falta de
diligencia que debe calificarse de grave y no de muy grave, como señalaba la
propuesta de resolución. Toda vez que la Guía se publicó en noviembre de
2023, una vez se había iniciado ya un procedimiento de actuaciones previas
de investigación contra la UIV por la interposición de la que denuncia de 22
de mayo de 2023 que dio lugar a la tramitación de este expediente. Y pese a
recibir el acuerdo de inicio de este expediente donde se hacía constar
claramente los indicios racionales de haber cometido esta infracción, no ha
comunicado a esta agencia su intención de regularizar su situación al
respecto.

Cabe aclarar que -contrariamente a lo señalado por la UIV en su página 82-
la valoración del grado de culpabilidad que concurre en cada conducta
infractora es obligatoria, sin que sea calificada como agravante en el RGPD,
constituyendo una circunstancia de graduación que se valora como uno de
los puntos de partida de fijación de la sanción.

3. Valoración de la vinculación de la actividad del infractor con la realización de
tratamientos de datos personales [artículo 76.2.b) de la LOPD].

Se desestiman las alegaciones realizadas, entendiendo que cabe aplicar
este criterio de graduación -que si tiene el carácter de factor agravante, a
diferencia de los anteriores- por considerar que se han justificado
debidamente los motivos por los que la Propuesta de Resolución considera
que “las operaciones de tratamiento son consustanciales al objeto social o
actividad principal del responsable”, al señalar lo siguiente: “toda vez que
esta consiste en la función docente respecto a los alumnos e incluye la
realización de todo tipo de actividades incluida la realización de exámenes,
su calificación, la confección de expdte académico de los alumnos, etc”.

Cabe añadir que no cabe duda alguna de la vinculación del infractor al
tratamiento masivo de datos personales de los alumnos, que debería haber
llevado a la UIV a prestar una diligencia de cuidado cualificada por estar
habituada a realizar operaciones de tratamiento, habida cuenta el número de
alumnos matriculados cada curso en su universidad que constan
diligenciados en el presente procedimiento.

No se dice que el objeto social de la UIV no sea impartir educación
universitaria, sino que la actividad de tratamiento de datos personales es
consustancial a este objeto social, por lo que no cabe admitir este
argumento.

– Sobre la graduación de la sanción impuesta por la supuesta infracción del
artículo 5.1.c) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

163/225

1. Valoración de la naturaleza, gravedad y duración de la infracción del artículo
83.2.a) del RGPD:

Cabe desestimar íntegramente las alegaciones realizadas porque, como ya
se ha dicho, el error de interpretación respecto al tratamiento de datos
biométricos de categoría especial cometido por la UIV afectó únicamente a la
conducta infractora tipificada en el artículo 9 del RGPD, sin que la
interpretación de este concepto afecte en nada al deber de ajustar todo
tratamiento de datos personales-sean o no de categoría especial-al Principio
de minimización regulado por el artículo 5 del RGPD.

Por tanto, cabe confirmar los argumentos esgrimidos en la Propuesta de
Resolución respecto a la concurrencia de esta circunstancia de graduación,
considerando cometida la infracción desde la entrada en vigor del RGPD, y
respecto de los alumnos matriculados desde el curso 2019-2020 hasta la
actualidad cuyos datos personales fueron objeto de un tratamiento que
vulneraba el Principio de minimización, puesto que no era necesario ni
proporcional. Y considerar que en este caso existían múltiples alternativas
que hubieran permitido controlar la identidad de los alumnos que
participaban en los exámenes de la UIV que se descartaron sin realizar un
adecuado análisis exhaustivo, ni ponderar los beneficios y perjuicios que la
implantación de un sistema de reconocimiento facial implicaba en
comparación a los mismos. Y sin que quepa, como ya se ha dicho,
considerar esta circunstancia como agravante sino como circunstancia de
graduación de la conducta cuya valoración es obligatoria en todos los
supuestos como punto de partida.

2. Valoración de la intencionalidad o negligencia en la infracción [artículo
83.2.b) del RGPD].

Negando de nuevo el hecho de que la intencionalidad o negligencia se
valoren como una circunstancia agravante, cabe aclarar que no es cierto que
la Propuesta considerase que concurría negligencia grave hasta septiembre
de 2020 y muy grave a partir de julio de 2023, como señala la UIV, sino que
la misma hizo constar lo siguiente: “Y por lo que respecta a la graduación de la
culpabilidad concurrente respecto a la infracción del artículo 5.1.c) del RGPD, se
entiende que cabe imputar una conducta negligente a la UIV desde la entrada en
vigor del RGPD, si bien la misma debe considerarse grave hasta que en
septiembre de 2020, fue consciente de que el Informe 0036/2020 había
señalado expresamente que un tratamiento equivalente al suyo no podía
considerarse ni necesario ni proporcional, elevándose al grado de negligencia
muy grave desde entonces, toda vez que fue conocedora de este criterio y
continuó con el tratamiento no necesario ni proporcional.”

No obstante, se estima parcialmente la alegación formulada por considerar
que concurrió en todo momento una negligencia grave en la conducta de la
UIV, sin que quepa considerar que el grado de negligencia aumentase a muy
grave a partir de que se elaboró la primera EIPD en septiembre de 2020,
puesto que si bien es cierto que la misma no actuó con la diligencia exigible
al analizar las alternativas y la proporcionalidad del tratamiento, lo cierto es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

164/225

que incluyó un análisis de las mismas en su EIPD de 2020, y la actualizó en
dos ocasiones. Por tanto, aunque se considera que el análisis realizado fue
manifiestamente insuficiente, se considera que no concurre negligencia muy
grave, sino grave en el cumplimiento del principio del artículo 5.1.c) del
RGPD.

Asimismo, cabe mencionar las actuaciones llevadas a cabo por la UIV para
adaptar el tratamiento de datos personales que realiza a los requerimientos
de RGPD que, si bien no pueden ser considerados suficiente, sí han de
acogerse de forma positiva.

Por tanto, procede reducir la sanción a imponer por la comisión de esta
infracción respecto de la que fue señalada en la Propuesta de resolución, e
incluso, en el acuerdo de inicio.

3. Valoración de la categoría de los datos personales afectados por la infracción
[artículo 83.2.g) del RGPD].

Cabe desestimar las alegaciones realizadas, por considerar que la aplicación
de esta agravante no supone una vulneración del Principio ne bis in idem,
puesto que no se están sancionando dos veces la misma conducta, sino que
se está aplicando una circunstancia para graduar la sanción reconocida por
el legislador comunitario que puede aplicarse a las diferentes infracciones
cometidas respecto a los tratamientos de datos personales cuando los
mismos involucren datos personales de categoría especial, puesto que ello
se considera de mayor gravedad, pero ello no forme parte del propio tipo
infractor.
Esto es, la aplicación de esta agravante respecto a la infracción del artículo 9
del RGPD se consideraría una vulneración del referido principio, pero la
infracción del artículo 5.1.c) del RGPD se comete por el hecho de realizar un
tratamiento de datos personales que no sea necesario ni proporcional, lo que
es independiente de las categorías de datos personales tratados, por lo que
es posible aplicar la referida circunstancia.

Recordemos que el propio CEPD se pronuncia respecto de dicha
circunstancia de graduación en sus directrices 04/2022, sobre el cálculo de
las multas administrativas contempladas en el RGPD en los siguientes
términos:
En cuanto al requisito de tener en cuenta las categorías de los datos
personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD
destaca claramente los tipos de datos que merecen una protección especial
y, por tanto, una respuesta más estricta en lo que respecta a las multas
Esto se refiere, como mínimo, a los tipos de datos a que se refieren los
artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de
estos artículos cuya difusión provoque daños y perjuicios inmediatos al
interesado 26 (por ejemplo, datos de localización, datos sobre
comunicaciones privadas, números de identificación nacionales o datos
financieros, como resúmenes de operaciones o números de tarjetas de
crédito)27.En general, cuantas más de estas categorías de datos estén

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

165/225

implicadas o más sensibles sean los datos, más peso podrá atribuir la
autoridad de control a este factor.

4. Valoración de la vinculación de la actividad del infractor con la realización de
tratamientos de datos personales [artículo 76.2.b) de la LOPD].

Se considera que concurre esta agravante, desestimándose las alegaciones
realizadas por los motivos ya señalados.

VI. Sobre la concurrencia de excepción a la prohibición del tratamiento del artículo 9
del RGPD, y base legitimadora del artículo 6 del RGPD.

6.1. Sobre la necesidad de que concurra excepción a la prohibición del tratamiento de
datos biométricos.

Como ya se ha indicado, los datos biométricos, catalogados como de “categoría
especial”, en el artículo 9, tanto del RGPD, como de la LOPDGDD, son datos
personales de cuyo uso pueden desprenderse riesgos significativos para los derechos
y las libertades fundamentales, y por ello, en principio su tratamiento está prohibido en
el artículo 9.1 del RGPD, salvo que concurra alguna de las excepciones previstas en el
párrafo 2 del mismo artículo.

Otro de los requisitos adicionales de este tipo de tratamientos será, por tanto, que
previamente a iniciar el tratamiento el responsable deberá también comprobar y
acreditar que concurra una de las excepciones previstas en el artículo 9.2 del RGPD u
otra legislación específica.

De este modo, estando prohibido su tratamiento con carácter general, cualquier
excepción a dicha prohibición habrá de ser objeto de interpretación restrictiva. Tal y
como se deduce de los considerandos 51 y 52 del RGPD, que ponen de manifiesto:

“Tales datos personales no deben ser tratados, a menos que se permita su
tratamiento en situaciones específicas contempladas en el presente
Reglamento, habida cuenta de que los Estados miembros pueden establecer
disposiciones específicas sobre protección de datos con objeto de adaptar la
aplicación de las normas del presente Reglamento al cumplimiento de una
obligación legal o al cumplimiento de una misión realizada en interés público o
en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
Además de los requisitos específicos de ese tratamiento, deben aplicarse los
principios generales y otras normas del presente Reglamento, sobre todo en lo
que se refiere a las condiciones de licitud del tratamiento. Se deben establecer
de forma explícita excepciones a la prohibición general de tratamiento de esas
categorías especiales de datos personales, entre otras cosas cuando el
interesado dé su consentimiento explícito o tratándose de necesidades
específicas, en particular cuando el tratamiento sea realizado en el marco de
actividades legítimas por determinadas asociaciones o fundaciones cuyo
objetivo sea permitir el ejercicio de las libertades fundamentales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

166/225

“Asimismo deben autorizarse excepciones a la prohibición de tratar categorías
especiales de datos personales cuando lo establezca el Derecho de la Unión o
de los Estados miembros y siempre que se den las garantías apropiadas, a fin
de proteger datos personales y otros derechos fundamentales, cuando sea en
interés público, en particular el tratamiento de datos personales en el ámbito de
la legislación laboral, la legislación sobre protección social, incluidas las
pensiones y con fines de seguridad, supervisión y alerta sanitaria, la
prevención o control de enfermedades transmisibles y otras amenazas graves
para la salud (...)”

Así las cosas, las excepciones que posiblemente podrían permitir el levantamiento de
la prohibición general de tratar datos biométricos dirigidos a identificar/verificar la
identidad de personas físicas, son las que prevé el artículo 9.2. del RGPD, con el
siguiente tenor literal, que deberá interpretarse restrictivamente, siempre en favor de
proteger los derechos y libertades de los ciudadanos en caso de duda:

“2. El apartado 1 no será de aplicación cuando concurra una de las
circunstancias siguientes:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos
datos personales con uno o más de los fines especificados, excepto cuando el
Derecho de la Unión o de los Estados miembros establezca que la prohibición
mencionada en el apartado 1 no puede ser levantada por el interesado;”
b) el tratamiento es necesario para el cumplimiento de obligaciones y el
ejercicio de derechos específicos del responsable del tratamiento o del
interesado en el ámbito del Derecho laboral y de la seguridad y protección
social, en la medida en que así lo autorice el Derecho de la Unión o de los
Estados miembros.
c) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física, en el supuesto de que el interesado no esté capacitado,
física o jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con
las debidas garantías, por una fundación, una asociación o cualquier otro
organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o
sindical, siempre que el tratamiento se refiera exclusivamente a los miembros
actuales o antiguos de tales organismos o a personas que mantengan
contactos regulares con ellos en relación con sus fines y siempre que los datos
personales no se comuniquen fuera de ellos sin el consentimiento de los
interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho
manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función
judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre
la base del Derecho de la Unión o de los Estados miembros, que debe ser
proporcional al objetivo perseguido, respetar en lo esencial el derecho a la
protección de datos y establecer medidas adecuadas y específicas para
proteger los intereses y derechos fundamentales del interesado;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

167/225

h) el tratamiento es necesario para fines de medicina preventiva o laboral,
evaluación de la capacidad laboral del trabajador, diagnóstico médico,
prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de
los sistemas y servicios de asistencia sanitaria y social, sobre la base del
Derecho de la Unión o de los Estados miembros o en virtud de un contrato con
un profesional sanitario y sin perjuicio de las condiciones y garantías
contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la
salud pública, como la protección frente a amenazas transfronterizas graves
para la salud, o para garantizar elevados niveles de calidad y de seguridad de
la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la
base del Derecho de la Unión o de los Estados miembros que establezca
medidas adecuadas y específicas para proteger los derechos y libertades del
interesado, en particular el secreto profesional.
j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el
artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados
miembros, que debe ser proporcional al objetivo perseguido, respetar en lo
esencial el derecho a la protección de datos y establecer medidas adecuadas y
específicas para proteger los intereses y derechos fundamentales del
interesado”.

Por tanto, además de comprobar previamente que el tratamiento supera el juicio de
proporcionalidad, si el responsable no acredita que su tratamiento está dentro de
alguna de estas excepciones, no podrá siquiera iniciar el tratamiento sin incurrir en una
infracción del artículo 9 del RGPD.

6.2. Necesidad de base de licitud del tratamiento del artículo 6.1.

Además de levantar la prohibición sobre su tratamiento, el responsable debe acreditar
también que su tratamiento se puede realizar porque concurre una de las bases
jurídicas legitimadoras del tratamiento contenidas en el artículo 6.1 del RGPD, que son
requisito general para el tratamiento de cualquier dato de carácter personal. Esto es, la
concurrencia de excepción que hipotéticamente permita levantar la prohibición de
tratar datos biométricos no será suficiente, no sustituye a la necesidad de que a su vez
exista una base de licitud en el caso de los biométricos. El responsable debe estar en
disposición de acreditar que concurren ambas, además de que se supera el juicio de
proporcionalidad antedicho, y así sucesivamente, respecto al resto de requisitos
previstos en la normativa. Por ello hablamos de “requisitos cumulativos” y no
alternativos.

Así pues, el artículo 6 del RGPD parte también del hecho de que tratar datos
personales en general es algo excepcional, manteniendo que:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones (comúnmente denominadas como “base de licitud”):

a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

168/225

b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones”.

Por tanto, en caso de que no concurra una base de licitud, a las infracciones
anteriormente mencionadas, se añadiría una infracción del artículo 6 del RGPD, lo que
no se ha realizado en el presente procedimiento, donde no se imputa la referida
infracción.

6.3. Análisis de la concurrencia de una excepción y una base de licitud en el supuesto
presente.

En el supuesto presente, el tratamiento planteado por la universidad debe contar con
una base de licitud del artículo 6 del RGPD porque trata datos personales, y con una
excepción del artículo 9.2 del RGPD porque trata datos biométricos de categoría
especial. Toda vez que, tal y como se ha argumentado previamente en los
Fundamentos de Derecho II a V de la presente Resolución, tanto si los datos
biométricos se tratan para la identificación de personas físicas (comparaciones 1 a
varios) como si se utilizan para la autenticación o verificación de la identidad de las
personas (comparaciones 1 a 1), estos datos biométricos son categorías especiales de
datos.

Al respecto de esta cuestión, consta acreditado que la UIV no hizo constar en la
documentación elaborada en relación con el tratamiento al que se refiere este
expediente una referencia expresa a las bases de licitud ni a la excepción concurrente,
haciendo una referencia genérica a las “bases jurídicas del tratamiento” en la EIPD
que, además, no se correspondía con la del RAT, lo que de por sí ya supone un
incumplimiento de sus obligaciones como responsable de tratamiento de datos
personales que refuerza la falta de diligencia debida de la UIV en el cumplimiento de
su deber de documentar adecuadamente sus obligaciones (artículos 5.2 del RGPD, y
artículo 35.7.a) del RGPD).

o El RAT aportado por la UIV incluye una referencia a tres “bases jurídicas
utilizadas para el tratamiento” (1. Consentimiento explícito del usuario recabado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

169/225

en fase precontractual y contractual; 2. Ejecución del Contrato; y 3. Interés
Legítimo para la prevención del fraude). No distingue el RAT, por tanto, entre
bases de licitud y excepciones, utilizando el concepto de “bases jurídicas”, que
no se contiene como tal en el nuevo RGPD.

o Como puede observarse en el Hecho Probado Quinto, estas tres bases
jurídicas señaladas en el RAT no coinciden exactamente con las mencionadas
en las EIPD de 2020 ni con sus actualizaciones de 2023 y 2024, que hacen
referencia a 4 “bases jurídicas”, añadiendo el “interés público” a las
enumeradas, y aclarando únicamente en la base jurídica del consentimiento
que “El consentimiento del interesado es la primera base jurídica que se
presenta al hablar de categorías especiales de datos. A pesar de que los datos
biométricos no se vienen considerando categorías especiales de datos, la VIU
viene solicitando el consentimiento de la persona que desea ser alumno de la
Universidad desde 2018(…). No se encuentran tras referencias a la
concurrencia de excepciones del artículo 9 del RGPD, más allá de esta
manifestación sobre el consentimiento.

Además, preguntada por esta cuestión, la UIV ha ido cambiando de versión sobre las
bases y excepciones concurrentes a lo largo del procedimiento:

o En el primer escrito de respuesta al requerimiento de investigación que
aportaba el RAT y la EIPD de 16 de noviembre de 2023, la UIV mantiene una
versión diferente de la contenida en el propio RAT y la EIPD, y señala que las
bases jurídicas dependen de la finalidad del tratamiento, existiendo 3
finalidades:

“Para la finalidad de verificación mediante reconocimiento facial y datos
biométricos de que el alumno es parte del contrato de enseñanza, las
bases jurídicas aplicadas son:
 1.-La ejecución del contrato de enseñanza.
 2.-El consentimiento: otorgado al aceptar las condiciones generales en
el momento de la matricula (contrato de enseñanza). Este consentimiento
se otorga previamente cuando el interesado todavía no es alumno de la
universidad y tiene plena capacidad para elegir centro universitario. El
consentimiento por tanto es libre debido a que el alumno puede escoger
cualquier centro y todavía no está sujeto a la normativa de la universidad.
o Para la finalidad de verificación del entorno con la segunda cámara para
prevenir fraude:
 1.- El interés legítimo (no se realiza ningún tratamiento biométrico con
los datos obtenidos, solo se visualiza el entorno para disuadir al alumno de
realizar actuaciones fraudulentas y para detectarlas).
o Para la prevención del fraude en los exámenes on line:
i. El interés legítimo. La ponderación de este interés se realiza en
la evaluación de impacto realizada”

o En su escrito de alegaciones al Acuerdo de Inicio, la UIV cambia su versión
inicial en torno a esta cuestión, indicando que:

a) Concurren como bases de licitud la del consentimiento e interés legítimo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

170/225

b) Y hace referencia expresa a la concurrencia de dos excepciones
(consentimiento del 9.2.a) e interés público esencial del 9.2.g) del RGPD),
que no se han reflejado como tal en las EIPD del tratamiento.

o En su escrito de alegaciones a la Propuesta de Resolución -en la que se
insistió de nuevo en que no se cuestionaba la concurrencia de una base de
licitud del artículo 6, sino la falta de una excepción-, la UIV no realiza mención
a la base de licitud y mantiene que concurren las dos mismas excepciones que
fueron señaladas en su anterior escrito (consentimiento e interés público
esencial), discrepando de las conclusiones de la Propuesta.

En aras de cumplir con el deber de motivación de la Resoluciones, tal y como se ha
avanzado en los Fundamentos de Derecho IV y V, se exponen a continuación por
separado los motivos por los que se entienden desestimadas las alegaciones
formuladas por la UIV frente al Acuerdo de Inicio y la Propuesta de Resolución,
entendiendo que no se ha acreditado que concurra ninguna de las dos excepciones
cuya aplicación se solicita por la misma. Toda vez que el consentimiento no cumple el
requisito de ser libre, y no existe ningún interés público esencial que acreditado que
habilite a que el tratamiento se realice mediante reconocimiento facial.

6.3.1. Contestación a las alegaciones frente al Acuerdo de Inicio.

Una vez practicada la instrucción y celebrada la prueba, la Propuesta de Resolución
contestó a las alegaciones que fueron formuladas por la UIV al Acuerdo de Inicio
respecto a esta cuestión (sexta a octava) en el siguiente sentido, que se confirma por
esta Agencia, y se transcribe a continuación (entre << >>):

<< A continuación, se procede a contestar a estas alegaciones al Acuerdo de Inicio
(sexta a octava), reiterando los motivos por los que se entiende que concurre una base
de licitud del artículo 6.1.e) del RGPD, y analizando si de acuerdo con la prueba
aportada concurre una de las excepciones del artículo 9. 2 del RGPD:

(i) Análisis de concurrencia de una base de licitud para tratar datos
personales de los alumnos.

En relación con la base de licitud, la alegación octava del escrito de
alegaciones frente al acuerdo de inicio manifiesta lo siguiente: “Concurre
base de licitud amparada en el consentimiento libre y pleno del estudiante, y
en el interés legítimo de ambas partes, siendo la Agencia la que debe
acreditar la carga de la prueba por tratarse de un sancionador.”

No obstante, cabe aclarar que esta Agencia no ha cuestionado en ningún
momento que la UIV actué sin base de licitud que le legitime a la UIV para
tratar datos personales según el artículo 6 del RGPD, y la prueba de ello es
que no ha imputado la infracción de dicho precepto en el presente
procedimiento.

El análisis realizado al respecto en el Acuerdo de Inicio se realizó a los
meros efectos aclaratorios, sin imputar ninguna responsabilidad por ello.
Análisis acertado, que se comparte por esta instructora, en el que: (i) se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es