Esta universidad usó reconocimiento facial y acabó multada

La AEPD multa a VIU con 650.000€ por imponer reconocimiento facial y doble cámara en exámenes online y negar alternativas reales al alumnado.

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 650.000 euros a la Universidad Internacional de Valencia (VIU) por obligar a su alumnado a identificarse mediante reconocimiento facial y a someterse a un sistema de vigilancia reforzada durante los exámenes online, con doble cámara y análisis automatizado. El núcleo del reproche es doble: por un lado, el uso de datos biométricos —la cara convertida en patrón— sin una base legal válida; por otro, la falta de una alternativa real para quien no quisiera pasar por ese aro, porque el “no” dejaba al estudiante fuera de la evaluación.

La sanción llega tras una resolución que aterriza ya con cifra concreta: 300.000 euros por el tratamiento de biometría sin encaje en las excepciones previstas por la norma, y 350.000 euros por el enfoque considerado innecesario y desproporcionado en términos de privacidad. En la práctica, la AEPD viene a decir que perseguir el fraude académico no autoriza a convertir la habitación del examen en una zona de control permanente ni a exigir la cara como “llave obligatoria” para poder examinarse, por muy tentador que resulte el argumento de “así evitamos copiones”.

650.000 euros de multa: el caso VIU, al detalle

El expediente parte de una denuncia presentada el 24 de marzo de 2023 por una fundación que cuestionó las condiciones del sistema de vigilancia desplegado en los exámenes a distancia. A partir de ahí, el caso se fue construyendo como una de esas historias donde la tecnología entra como solución elegante —y sale como problema caro—: la universidad defendía que necesitaba blindar la identidad del alumno y la limpieza de la prueba; la AEPD concluye que ese blindaje se articuló con herramientas que tocaban un nervio muy sensible, el de los datos biométricos, y además lo hizo sin opciones equivalentes para quien no quisiera ser escaneado.

Hay un detalle importante que explica por qué este asunto no se queda en una polémica universitaria más: la resolución retrata un sistema obligatorio, no un extra voluntario. Según lo analizado, la VIU informaba de que los exámenes serían 100% online y que el procedimiento incluía el reconocimiento facial como parte del proceso; antes de cada examen, el estudiante debía aceptar condiciones específicas sobre el tratamiento de imágenes y, además, instalar un software de supervisión. En ese “ecosistema” —matrícula, aceptación de condiciones generales, registro de imagen, instalación de la aplicación— es donde la AEPD sostiene que el consentimiento se desdibuja hasta dejar de ser libre.

La universidad, en su defensa, vinculó el sistema a la necesidad de garantizar la autenticidad y calidad de las evaluaciones, con referencias al estándar académico y a la presión por acreditar procesos robustos. Aparece incluso la mención a ANECA como marco de calidad que, según la universidad, obliga a extremar controles. La AEPD no discute que evitar suplantaciones sea un objetivo legítimo; discute que ese objetivo permita saltar a la biometría como atajo y, sobre todo, que pueda hacerse sin una cobertura legal específica y sin medidas alternativas comparables.

Un examen con dos cámaras y un algoritmo mirando fijo

Lo que la AEPD analiza no es la típica videollamada con un profesor al otro lado. El sistema exigía dos cámaras aportadas por el propio estudiante: una enfocando al rostro y otra vigilando el entorno, con la lógica de “visión 360” aplicada a un examen doméstico. Además, el software incorporaba reconocimiento facial mediante inteligencia artificial, capturando y analizando imágenes en tiempo real para verificar de forma continuada que quien está delante de la pantalla es quien dice ser. Esa verificación no era puntual, tipo “te identificas al principio y ya”; era continua, insistente, repetida.

En la documentación del caso se emplean denominaciones genéricas para proteger identidades comerciales, algo habitual en este tipo de resoluciones. El software aparece como “APP1” y el proveedor como “EMPRESA2”. Ese matiz, lejos de ser accesorio, ayuda a entender el fondo: no se discute una marca concreta, se discute un modelo de negocio y una práctica que, con nombres diferentes, se repite en muchas plataformas de proctoring. La universidad, además, habría ido actualizando y endureciendo funciones con el tiempo; se menciona que la relación con el proveedor venía de años atrás, con evoluciones sucesivas que fueron añadiendo controles como la doble cámara.

La escena del examen, así, cambia por completo. El estudiante no solo responde preguntas; también tiene que “montar” el set de vigilancia: ordenador con la aplicación, cámara principal, y un móvil o tableta actuando como segundo ojo. Y en medio, el algoritmo. Si el sistema detecta que la cara se sale del encuadre, que hay sombras, que aparece un movimiento raro, que entra alguien, que hay un objeto no permitido… se generan alertas. La AEPD analiza precisamente la intensidad del tratamiento, ese nivel de observación continua que convierte la evaluación en una mezcla de examen y control de acceso.

La ‘monitorización 360’ y el control del escritorio

La vigilancia no terminaba en la imagen. El sistema incluía también monitorización del escritorio: capturas de pantalla, detección de programas, identificación de periféricos conectados, control del entorno digital en busca de comportamientos considerados incompatibles con el examen. Y, en paralelo, la segunda cámara se utilizaba para analizar con IA la presencia de otras personas u objetos no permitidos. No era solo “grabar”; era analizar, y esa diferencia importa, porque cuando la imagen se procesa para identificar de forma unívoca a alguien, entramos en el terreno de los datos biométricos.

La universidad sostuvo que el procedimiento era seguro y que no conservaba patrones biométricos permanentes, porque el sistema generaba y destruía datos tras cada comparación. Ese argumento aparece en el expediente con una frase que suena tranquilizadora: datos “seudonimizados” y “suprimidos rápidamente”. La AEPD, sin embargo, no se queda en el eslogan. Incluso si el patrón nace y muere en segundos, sigue existiendo un tratamiento biométrico, y eso dispara exigencias legales mucho más estrictas que las de una simple verificación de identidad convencional.

De hecho, en la evaluación interna de impacto que la propia universidad habría elaborado —la típica Evaluación de Impacto en Protección de Datos cuando se trata un sistema de alto riesgo— se reconocía un nivel de riesgo “muy alto” para derechos y libertades. Ese reconocimiento interno no implica mala fe; implica que el propio diseño asumía que se tocaba una zona delicada. La AEPD lo toma como un elemento más: si el riesgo es muy alto, la justificación tiene que ser blindada, no una suma de casillas marcadas.

La trampa del consentimiento: aceptar o perder la evaluación

En privacidad, “consiento” no es una palabra mágica. La AEPD centra buena parte de su razonamiento en por qué el consentimiento del alumnado no puede considerarse válido en este contexto. La universidad defendía que se recababa en varios momentos: cuando se consultaban las condiciones generales, al formalizar la matrícula, al registrar la imagen en el software, al instalar la aplicación, incluso antes de cada examen. La AEPD responde con una idea simple: si el único método permitido para examinarse a distancia exige reconocimiento facial, entonces el consentimiento está condicionado desde el origen.

El punto decisivo es el desequilibrio. En una relación educativa hay un reparto de poder evidente: la institución define la forma de evaluación, el alumno necesita ser evaluado para seguir, aprobar, titular. La AEPD sostiene que en ese “ecosistema universitario” el consentimiento pierde libertad cuando el rechazo implica una penalización material: quedarse sin examen, perder el derecho a evaluación. Y si el derecho a evaluación depende de aceptar el tratamiento biométrico, el “sí” se parece demasiado a un requisito técnico disfrazado de opción.

No basta con avisar “antes de la matrícula”. No basta con un clic en una casilla. La AEPD llega a mencionar que, para que se pudiera hablar de un consentimiento realmente libre, tendría que existir una alternativa equiparable en la que no fuese necesario tratar biometría: por ejemplo, la posibilidad de examinarse presencialmente o mediante otro método de verificación que no implique identificación biométrica. El foco está en la palabra “equiparable”: no vale ofrecer una salida que sea, en la práctica, inviable o punitiva.

Aquí el caso adquiere su dimensión política, aunque no haga falta ponerse grandilocuente: el problema no es solo tecnológico, es de derechos. La cara —convertida en patrón biométrico— no es un dato cualquiera. Y un examen, aunque sea importante, no es una aduana de frontera. La AEPD pone límite justo ahí: entre la necesidad legítima de evitar fraude y la tentación de imponer controles que, por su propia naturaleza, exigen un respaldo legal muy fuerte y garantías muy claras.

Por qué la biometría es otra liga

La AEPD recuerda que los datos tratados son de categoría especial según el artículo 9 del Reglamento General de Protección de Datos (RGPD), una norma que en la práctica funciona como semáforo rojo: la regla general es “prohibido”, y solo se puede pasar si se encaja en una de las excepciones tasadas. En el caso analizado, la AEPD considera que no había ninguna excepción válida que amparara el tratamiento tal como se realizaba. Ni el consentimiento, por lo ya explicado; ni otras vías que se intentaron invocar.

La universidad también habría defendido un supuesto interés público esencial en la lucha contra el fraude académico, una idea que suena razonable en abstracto. El problema es que esa vía, en el RGPD, exige algo más que una finalidad noble: exige una ley nacional específica que habilite de forma expresa el tratamiento biométrico en ese ámbito concreto, con límites y garantías. Y ahí la AEPD es tajante: hoy no existe, en el ámbito universitario español, una norma que diga con claridad “las universidades pueden tratar biometría de esta manera para exámenes a distancia”.

La VIU llegó a invocar el artículo 46.3 de la Ley Orgánica de Universidades, que establece la obligación general de verificar los conocimientos adquiridos. La AEPD lo considera insuficiente porque es un mandato amplio, de objetivo, no una autorización detallada para tratar datos biométricos. En otras palabras: una cosa es “hay que evaluar”, y otra muy distinta “para evaluar puedes usar reconocimiento facial continuo con doble cámara y monitorización del escritorio”. Entre ambas frases hay un abismo jurídico.

En este punto aparece una exigencia que la AEPD subraya con nombre propio: haría falta una ley habilitante específica que determine “en qué casos, condiciones y bajo qué garantías” podría realizarse un tratamiento biométrico así. Incluso se mencionan referencias a la jurisprudencia constitucional española y europea que, en materia de derechos fundamentales, exige precisión normativa cuando se tocan libertades sensibles. Esa precisión es justo lo que, según la AEPD, no existe hoy en el contexto universitario para exámenes remotos con IA biométrica.

La puerta que la AEPD deja entreabierta

La AEPD no firma un “nunca jamás”. Lo que dice, con bastante claridad, es “ahora, así, no”. Y deja una idea que pesará en los próximos años: si se desarrollara un marco normativo específico —una ley que reconozca la prevención del fraude académico como interés público esencial y que detalle garantías técnicas, organizativas y procedimentales—, entonces podría plantearse el uso de estos sistemas en condiciones muy acotadas. Ese matiz evita el maniqueísmo: no es una cruzada antiuniversidad, es un recordatorio de que la biometría requiere cobertura legal y un diseño proporcional.

En paralelo, el contexto europeo mete presión. El Reglamento de Inteligencia Artificial de la Unión Europea considera estos sistemas como alto riesgo en determinados escenarios, algo que no equivale a “prohibido” pero tampoco a “autorizado por defecto”. La AEPD subraya que ese marco europeo no da cobertura automática para que, por el mero hecho de estar tipificados como alto riesgo, puedan usarse en educación en España. Traducido a lenguaje de pasillo: Europa te dice “ojo, esto es delicado, regula y controla”; no te dice “adelante, úsalo ya en exámenes”.

Esta combinación —RGPD, falta de ley específica, y advertencia europea— dibuja el perímetro del caso: la universidad puede tener una finalidad legítima, puede incluso tener una evaluación interna que reconozca riesgos y diga “lo suprimimos rápido”, pero si el encaje legal no existe y además no hay alternativa para el alumno, el sistema se cae. Y se cae con ruido: 650.000 euros.

Después del golpe: qué significa para la universidad online

El caso de la VIU no se entiende sin el precedente de los años de expansión del examen remoto. Durante la pandemia y los periodos posteriores, muchas instituciones se lanzaron a soluciones de proctoring que prometían certezas donde había incertidumbre. La AEPD ya había advertido en 2021 que el uso de biometría para vigilar exámenes era un terreno resbaladizo, y en 2025 difundió criterios y análisis jurídicos que apuntaban en la misma dirección: biometría y evaluación online, tal como se estaba haciendo, no encajaba. La diferencia ahora es que esa línea desemboca en una sanción económica relevante, con un mensaje fácil de entender incluso sin ser jurista: la biometría no puede ser el “modo por defecto” para evitar trampas.

En el sector universitario, esto obligará a reordenar procesos. No hace falta inventar un futuro de ciencia ficción: bastará con ver cómo se desplazan los modelos de evaluación hacia métodos menos intrusivos o, al menos, con alternativas reales. Habrá más exámenes orales por videoconferencia, más pruebas diseñadas para reducir la utilidad de copiar, más combinaciones de evaluación continua, más controles humanos puntuales y menos dependencia de sistemas que tratan rasgos biométricos. La AEPD, de hecho, apunta a la idea de alternativas menos invasivas como parte del juicio de proporcionalidad: no es solo “esto está prohibido”, es “había otras maneras razonables”.

Para la VIU, el golpe tiene dos lecturas. La primera es obvia: la multa y el impacto reputacional de aparecer asociada a “reconocimiento facial obligatorio” en titulares. La segunda es más estructural: la necesidad de justificar cada tratamiento de datos con base jurídica sólida, especialmente cuando se trata de categorías especiales. Ese aprendizaje no se queda dentro de una universidad; se contagia a cualquier institución que haya probado sistemas similares, incluso a academias, plataformas de certificación y entidades que examinan a distancia y han comprado paquetes de “vigilancia inteligente” como quien compra una licencia más.

Hay también un efecto colateral que pocas veces se dice en voz alta, pero late en el expediente: cuando un sistema de vigilancia presume de precisión, también asume la posibilidad de error. El reconocimiento facial puede fallar por iluminación, por calidad de cámara, por postura, por cambios de aspecto; la detección de “objetos no permitidos” puede disparar falsos positivos; la monitorización del escritorio puede confundir comportamientos legítimos con sospechas. Y en un examen, una alerta no es un aviso inocente: puede significar anulación, investigación, conflicto. Por eso la AEPD insiste en garantías y proporcionalidad, no solo por privacidad abstracta, sino porque el diseño impacta en derechos concretos y en decisiones académicas con consecuencias reales.

La moraleja del caso, sin necesidad de adornos, es contundente: el fraude académico es un problema serio, pero la respuesta no puede basarse en imponer biometría sin alternativa y sin cobertura normativa específica. La AEPD ha dibujado una línea y la ha pintado con una cifra grande, de las que obligan a sentarse a revisar procedimientos con calma. A partir de aquí, el examen online seguirá existiendo, claro, pero ya no puede apoyarse en la idea de que “si lo hace un algoritmo, todo vale”. Aquí, por una vez, el derecho ha llegado antes que la costumbre. Y eso, en tecnología, no pasa todos los días.

🔎​ Contenido Verificado ✔️

Este artículo ha sido redactado basándose en información procedente de fuentes oficiales y confiables, garantizando su precisión y actualidad. Fuentes consultadas: AEPD, À Punt, Valencia Plaza, Xataka, El País.