Obligar a un alumno a instalar una segunda cámara para vigilar su entorno puede admitirse en casos concretos si la universidad demuestra idoneidad, necesidad y proporcionalidad y aplica salvaguardas estrictas. Imponer reconocimiento facial o cualquier tratamiento biométrico orientado a identificar unívocamente al alumno exige un umbral jurídico superior: habilitación normativa clara o, si se pretende basarlo en consentimiento, alternativas reales y equivalentes; sin ello, no debe imponerse.
1. Marco jurídico esencial
El control por videocámara y la captura de pantallas se rigen por los principios básicos del Reglamento General de Protección de Datos: licitud, minimización, transparencia, integridad y confidencialidad. Cuando la captura se utiliza para generar plantillas biométricas que permiten identificar de forma unívoca a una persona, se aplica el régimen reforzado del artículo 9 del RGPD y entran en juego límites constitucionales que exigen predeterminación normativa y proporcionalidad estricta. En el entorno universitario, el consentimiento es una base frágil cuando su negativa impide la evaluación: en tales escenarios el consentimiento rara vez es «libre» en sentido jurídico.
2. Segunda cámara versus reconocimiento facial: la diferencia práctica
La segunda cámara registra el entorno doméstico del estudiante y puede exponer a terceros, objetos personales y pantallas con datos. Esa intrusión es real, pero manejable si la universidad demuestra que no existen alternativas menos lesivas y que ha diseñado garantías técnicas y organizativas concretas.
El reconocimiento facial transforma imágenes en plantillas destinadas a identificar personas y, si se usa de forma continua o para búsquedas uno-a-varios, activa la categoría especial de datos biométricos y exige una justificación legal de mayor rango.
En la práctica, la cámara adicional y la biometría no son equivalentes: la primera es una medida de control cuya admisibilidad depende de proporcionalidad y mitigaciones; la segunda eleva la carga legal y constitucional a otro nivel.
3. Lo que muestran los documentos de la AEPD que analizamos
El informe 0036/2020, la resolución de advertencia E/05454/2021 y el expediente archivado EXP202200367 trazan una línea coherente. La AEPD advierte que la biometría no puede ser la solución por defecto y exige evaluación de impacto, contrato robusto con encargados y revisión humana cuando sea aplicable. La AEPD sancionó o requirió correcciones cuando la universidad no justificó necesidad o dependía del consentimiento condicionado; por el contrario, archivó actuaciones cuando verificó que no se realizaban tratamientos biométricos automatizados y que la documentación de riesgo y los contratos se habían actualizado. El mensaje es claro: sin documentación técnica, jurídica y organizativa sólida, la autoridad no acepta intrusiones en la privacidad domiciliaria.
4. Qué debe acreditar la universidad para imponer la segunda cámara
Antes de exigir una cámara adicional la universidad debe poder demostrar, por escrito, que ha probado y descartado medidas menos intrusivas, que la cámara es idónea para evitar suplantaciones que no se corrigen con métodos tradicionales y que la funcionalidad queda recogida en la Evaluación de Impacto en Protección de Datos con detalle de riesgos y mitigaciones. Además, debe limitar la conservación de imágenes con plazos concretos, garantizar que cualquier alerta sea revisada por una persona formada y ofrecer alternativas equivalentes para quienes no puedan o no quieran activar la monitorización. La relación contractual con el proveedor debe contener obligaciones de seguridad, auditorías y la prohibición expresa de tratamientos biométricos no autorizados. Sin todo lo anterior la medida es vulnerable ante la AEPD y ante los tribunales.
5. Por qué el reconocimiento facial obligatorio es otra liga
El tratamiento biométrico que identifique de forma unívoca exige una base legal robusta: o una habilitación normativa de rango suficiente o una excepción del artículo 9 aplicada en términos estrictos. A nivel técnico, las plantillas biométricas deben, cuando sea posible, permanecer bajo control del interesado o en almacenes con control criptográfico; hay que aplicar seudonimización, cifrado y auditorías independientes que midan precisión y sesgos. Si la EIPD revela riesgo residual alto, la consulta previa a la autoridad es obligatoria. En resumen: imponer reconocimiento facial sin estas garantías y sin alternativas reales es exponerse a invalidez legal y a daño reputacional.
6. Pasos inmediatos para reducir riesgo (qué hacer ya)
Priorizar alternativas menos intrusivas es la primera obligación. Si la institución considera imprescindible la segunda cámara, debe actualizar la EIPD incluyendo la captura de entorno y la monitorización de escritorio, documentar mitigaciones y pruebas técnicas, y publicar la información esencial antes de la matrícula y previo al examen.
El contrato con el proveedor debe obligar a auditorías periódicas, prohibir expresamente tratamientos biométricos no autorizados y detallar políticas de eliminación.
Debe existir un protocolo de revisión humana, registro de decisiones sobre alertas y alternativas académicas equivalentes claramente comunicadas y aplicables sin perjuicio.
7. Conclusiones
La segunda cámara puede ser admisible en supuestos concretos y bien documentados, pero no es una llana de uso general: exige demostrar idoneidad, necesidad y proporcionalidad y aplicar salvaguardas estrictas.
El reconocimiento facial obligatorio es, salvo habilitación legal clara o alternativas reales y equivalentes, jurídicamente inadecuado. El consentimiento no convierte en lícito un tratamiento biométrico cuando no existe una alternativa práctica y equivalente.
Si la universidad no puede probar estas condiciones por escrito y con evidencias técnicas, no debe imponer medidas que conviertan domicilios en espacios vigilados.
Pablo Fdez. Burgueño 