ACN Barcelona – L’Autoritat Catalana de Protecció de Dades (APDCat) ha sancionat amb 20.000 euros la Universitat Oberta de Catalunya (UOC) per la implantació del sistema de reconeixement facial per fer els exàmens finals. Segons la resolució de la sanció publicada a la web de l’APDCat, el tractament de les dades biomètriques dels estudiants no està inclòs en cap de les excepcions que el reglament de protecció de dades preveu en el tractament de categories especials de dades. El sistema l’haurien utilitzat més de 31.000 universitaris en els exàmens del primer semestre del curs passat, el gener del 2022. La universitat al·lega que el sistema és proporcional i adequat per verificar la identitat dels alumnes.
El 4 de novembre del 2021 una persona va denunciar a l’APDCat el sistema de reconeixement facial per als exàmens. El sistema, obligatori per poder fer els exàmens, requereix que l’estudiant capturi una imatge de la seva cara per tal que l’eina la pugui comparar amb la foto del seu DNI. La foto també servia per comparar-la amb les imatges que es capturen mentre l’estudiant està fent l’examen. Posteriorment, i fins al maig del 2022, quatre persones més van interposar denúncies semblants.
Arran d’un requeriment de l’APDCat, la UOC va respondre que la comparació d’imatges es feia per prevenir i detectar el possible frau acadèmic i poder executar correctament el contracte entre la universitat i els estudiants. A més, recordava que quan els estudiants es matriculen a la UOC ja saben que l’examen serà virtual i que el sistema de verificació pot ser aquest. La universitat també al·legava que la majoria d’assignatures s’aproven sense exàmens finals, sinó amb avaluació continuada i la presentació de treballs, que no requereix la identificació per reconeixement facial. El primer cop que es va fer servir aquest sistema va ser el 8 de gener del 2022, i dels 75.000 universitaris matriculats, menys de la meitat, 31.500 van fer els exàmens finals amb reconeixement facial.
La universitat també recordava que hi ha diverses excepcions per a persones que no puguin fer-se el reconeixement facial.
L’APDCat va iniciar un procediment sancionador el juny de l’any passat i la universitat va tornar a presentar al·legacions al juliol i a l’octubre. La instructora del procediment sancionador va proposar una multa de 20.000 euros, que la directora de l’APDCat, Meritxell Borràs, va confirmar al desembre. Protecció de Dades ha publicat la sanció un cop s’ha resolt el recurs de reposició presentat per la universitat, que ara recorrerà a la via judicial contenciosa-administrativa, segons ha explicat a l’ACN.
La discussió jurídica rau en el fet que la UOC al·lega que les dades biomètriques d’una fotografia no són considerades especials i, per tant, entren dins de les excepcions que la normativa preveu per poder tractar. A més, la UOC diu que sent inseguretat jurídica davant de la diferència de criteris entre l’APDCat i l’Agència Espanyola de Protecció de Dades (AEPD) i altres autoritats de control de la matèria com el Comitè Europeu de Protecció de Dades. Però l’ADPCat diu que no està subordinada al criteri de l’AEPD i sosté que les dades biomètriques facials sí que són dades especialment protegides.
A més de la sanció, l’APDCat demana a la UOC que el sistema no sigui obligatori i que s’informi i s’ofereixi als estudiants una alternativa com per exemple l’avaluació presencial o ‘l’avaluació oral síncrona’. Per als universitaris que acceptin el reconeixement facial, l’APDCat exigeix que se’ls faci signar un document de consentiment explícit.
<strong>La UOC diu que el sistema és legal i confidencial</strong>
La universitat ha dit a l’ACN que aquest sistema l’ha seguit utilitzant des del gener del 2022 perquè confia en la seva legalitat i perquè ja va recórrer la sanció i, per tant, la resolució no és ferma. Tot i així, està estudiant com implementar les recomanacions de l’APDCat.
La UOC argumenta que el que fa el sistema és “autentificar un a un” els estudiants, comparant la imatge del seu DNI que consta a l’expedient amb la que ofereix la seva webcam privada mentre fan l’examen. “Aquest model equival a ensenyar el DENI en l’entorn presencial”, assegura la universitat. “No identifiquem una persona entre moltes”, afegeix. Les dades, a més, s’eliminen al cap de tres mesos que acabin les proves virtuals, que es fan un cop per cadascun dels dos quadrimestres de cada curs acadèmic.
La universitat assegura que tracta les dades de forma confidencial, i que ha implantat “mesures tècniques i organitzatives adequades per garantir-ne la seguretat i evitar la destrucció, pèrdua, accés o alteració il·lícites”. A més, les dades no se cedeixen a tercers excepte que sigui per obligació legal.
