La biometría universitaria ante el Derecho: la sanción de la AEPD por reconocimiento facial obligatorio en exámenes online

La utilización de sistemas de inteligencia artificial basados en reconocimiento facial dentro del ámbito educativo está comenzando a generar algunos de los conflictos jurídicos más relevantes del panorama tecnológico europeo. La reciente sanción impuesta por la Agencia Española de Protección de Datos a la Universidad Internacional de Valencia constituye uno de los precedentes más importantes en España sobre los límites jurídicos del uso de tecnologías biométricas en entornos universitarios y refleja con claridad cómo el desarrollo tecnológico no puede desvincularse de los principios fundamentales del Derecho europeo de protección de datos.

El caso posee una enorme trascendencia doctrinal porque no afecta únicamente a la privacidad de los estudiantes, sino también al propio modelo de relación entre universidad, vigilancia tecnológica y derechos fundamentales. La resolución cuestiona directamente si una institución educativa puede imponer mecanismos de reconocimiento facial como requisito obligatorio para realizar exámenes a distancia y, sobre todo, si el consentimiento del estudiante puede considerarse verdaderamente libre cuando la negativa implica la imposibilidad práctica de examinarse.

La AEPD concluyó que el sistema implantado por la universidad vulneraba diversos principios esenciales del Reglamento General de Protección de Datos, particularmente los relativos a proporcionalidad, minimización de datos y licitud del tratamiento. El elemento más sensible del conflicto reside en que el reconocimiento facial implica el tratamiento de datos biométricos, categoría especialmente protegida por el artículo 9 del RGPD debido a su capacidad para identificar de manera unívoca a una persona física. No se trata, por tanto, de simples datos identificativos, sino de información especialmente sensible cuya utilización exige garantías reforzadas y una estricta justificación jurídica.

La cuestión central del asunto no radica en la existencia de una finalidad legítima —garantizar la autenticidad del alumnado durante los exámenes online— sino en determinar si la medida tecnológica utilizada era necesaria y proporcionada. Precisamente aquí aparece uno de los principios esenciales del Derecho tecnológico contemporáneo: la mera existencia de una solución técnica no legitima automáticamente su utilización jurídica. El Derecho europeo exige siempre analizar si existen medidas menos invasivas capaces de alcanzar el mismo objetivo.

La AEPD entendió que la universidad no acreditó suficientemente que el reconocimiento facial fuese imprescindible ni que no pudieran utilizarse alternativas menos intrusivas. Esta conclusión resulta especialmente relevante porque reafirma un criterio cada vez más consolidado en la jurisprudencia y en la doctrina europea: la innovación tecnológica debe someterse al principio de intervención mínima sobre los derechos fundamentales.

El caso adquiere todavía mayor relevancia si se analiza a la luz del Reglamento Europeo de Inteligencia Artificial, conocido como AI Act. Aunque muchas universidades han interpretado que los sistemas de proctoring automatizado forman parte de una simple evolución de la educación digital, el nuevo marco europeo introduce una visión mucho más restrictiva respecto a los sistemas biométricos. El AI Act considera especialmente sensibles los sistemas capaces de identificación biométrica remota y establece obligaciones reforzadas de transparencia, evaluación de riesgos y supervisión humana.

En el ámbito universitario el problema resulta particularmente delicado porque existe una evidente relación de desequilibrio entre institución y estudiante. Desde la perspectiva jurídica, el consentimiento únicamente es válido cuando puede prestarse libremente y revocarse sin consecuencias negativas. Sin embargo, cuando un alumno debe aceptar un tratamiento biométrico para poder examinarse o continuar su formación académica, aparecen serias dudas sobre la auténtica libertad de esa aceptación. La propia doctrina europea ha venido advirtiendo desde hace años que el consentimiento raramente constituye una base legítima suficiente cuando existe una posición dominante de una de las partes.

El conflicto también revela un fenómeno más amplio: la progresiva normalización social de tecnologías de vigilancia algorítmica en espacios cotidianos. Lo verdaderamente importante de esta resolución no es únicamente la sanción económica, sino el mensaje jurídico subyacente. El Derecho europeo está comenzando a fijar límites muy claros frente a la expansión indiscriminada de sistemas automatizados de control conductual y reconocimiento biométrico, incluso cuando se presentan bajo argumentos de eficiencia o seguridad.

La universidad digital del futuro deberá construirse necesariamente sobre criterios de compatibilidad entre innovación tecnológica y garantías fundamentales. El principio de proporcionalidad seguirá siendo el eje esencial del análisis jurídico de estas herramientas. La cuestión no consiste en prohibir la inteligencia artificial dentro del ámbito educativo, sino en impedir que la lógica tecnológica sustituya al razonamiento jurídico y constitucional.

Desde una perspectiva doctrinal, este caso anticipa numerosos conflictos que probablemente aumentarán en los próximos años: vigilancia automatizada del alumnado, evaluación algorítmica, análisis conductual mediante IA, monitorización emocional o sistemas predictivos aplicados al rendimiento académico. Todos ellos plantean una pregunta esencial para el Derecho contemporáneo: hasta qué punto puede una institución educativa transformar el espacio universitario en un entorno de supervisión tecnológica permanente.

La resolución de la AEPD representa, en definitiva, una reafirmación de un principio fundamental del constitucionalismo europeo contemporáneo: los derechos fundamentales no desaparecen frente a la eficiencia tecnológica. La inteligencia artificial puede mejorar numerosos procesos educativos, pero su utilización debe mantenerse siempre dentro de los límites derivados de la dignidad humana, la privacidad y la libertad individual.

Santiago Carretero Sánchez
Profesor Titular de Filosofía del Derecho
Universidad Rey Juan Carlos