En un informe, la agencia recuerda que "el Reglamento establece que el consentimiento del afectado debe ser libre y que no puede considerarse prestado de forma libre y, por tanto, válida cuando el afectado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. Tampoco puede considerarse libre cuando existe un desequilibro claro entre el interesado y el responsable del tratamiento".

La agencia recuerda, ante esta situación, que la propia comunidad universitaria ha planteado medidas alternativas para la evaluación online "menos intrusivas que permiten hacer frente a la situación generada por la declaración del estado de alarma" y que el Gobierno ya ha iniciado el plan de desescalada "que podría permitir realizar, con las restricciones que establezcan las autoridades sanitarias, pruebas presenciales".

Asimismo, la AEPD reiteró que el estado de emergencia "no implica la suspensión del derecho fundamental a la protección de datos", por lo que todo tratamiento de información personal debe ajustarse a las previsiones del Reglamento General de Protección de Datos (RGPD), por lo que subraya que para presentarse a exámenes online con reconocimiento facial hay que dar consentimiento libre.

Desde su perspectiva, la posibilidad de admitir un consentimiento libre de los alumnos que permitiera el empleo de técnicas de reconocimiento facial para tratar sus datos biométricos en las evaluaciones online "requeriría que a los mismos se les ofreciera la posibilidad de realizar dichas evaluaciones en una situación equiparable en la que no fuera necesario su tratamiento, como pudiera ser la realización de la misma actividad presencialmente, u ofreciendo otras alternativas que no requieran el tratamiento de sus datos biométricos y que fueran equiparables en cuanto a su duración y dificultad respecto a las que se realicen con reconocimiento facial".

"En otro caso como, por ejemplo, si las actividades alternativas ofrecidas fueran más gravosas o implicaran una mayor dificultad, el consentimiento no podría considerarse libremente prestado. Y lo que no sería admisible, en ningún caso, es que como consecuencia de la denegación del consentimiento se denegara la posibilidad de matriculación o de acceder a la evaluación o cualquier otra consecuencia negativa importante para el alumno", aseguró la AEPD.

El informe añade que corresponde a las universidades, en virtud del principio de autonomía universitaria y como responsables del tratamiento, determinar en sus normas de evaluación y en sus planes de formación los procedimientos de evaluación que acrediten la igualdad entre los alumnos que consientan el tratamiento de sus datos biométricos y los que no lo hagan. "Sólo así el tratamiento podría estar basado en el consentimiento", indicó la agencia que matiza que el reconocimiento facial se trata de una categoría especial de datos para la que el reglamento requiere la existencia de un “interés público esencial” para que pueda ser legítimo.

"La aplicación del interés público esencial como base de legitimación requiere de una norma con rango de ley que justifique en qué medida y en qué supuestos la identificación de los alumnos mediante el empleo de la biometría respondería al mismo", norma inexistenten en la actualidad, subrayó Protección de Datos.

Por todo ello, "las técnicas de reconocimiento facial, que se realizan de forma continuada para la comparación del alumno con terceros al objeto de identificar una posible suplantación, implican el tratamiento de datos biométricos con la finalidad de identificar de forma unívoca a una persona física, por lo que exigen garantías reforzadas".