¿Cómo se ha previsto la identificación de los estudiantes y la supervisión del desarrollo de las pruebas de evaluación en línea en la UCM?

Las autoridades académicas de la UCM, en concordancia con lo propuesto por la Conferencia de Rectores de las Universidades Españolas (CRUE) en los documentos publicados sobre estas cuestiones, han elaborado y remitido a todos los profesores una serie de directrices y recomendaciones sobre el procedimiento de realización de las pruebas de evaluación en línea en las cuales se abordan, entre otros aspectos, los relativos a la identificación de los alumnos y el seguimiento a distancia del desarrollo de las pruebas, dos cuestiones de la máxima relevancia para el adecuado cumplimiento por los docentes de la misión de servicio público de verificar los conocimientos objetivos de los estudiantes que tienen atribuida.
En estas directrices, ante la imposibilidad de proceder en la situación actual en el modo en el que habitualmente se hace en las pruebas presenciales, se prevén distintas fórmulas para verificar la identidad y realizar el seguimiento del correcto desarrollo de las pruebas -ya empleadas desde hace tiempo en Europa y en España en la enseñanza online- que van desde la utilización de usuario y contraseña, en el nivel más básico, hasta el visionado remoto y la grabación en su nivel más avanzado, descartándose expresamente otras tecnologías de e-proctoring, potencialmente más eficaces para la identificación de personas y para detectar comportamientos anómalos, pero que comportan una injerencia mucho mayor en la esfera de los derechos fundamentales, como sucede con las que integran técnicas de reconocimiento facial y, en general, todas las que implican el uso de datos biométricos con fines de identificación unívoca de una persona.
Por otra parte, como quiera que es necesario apreciar las circunstancias concurrentes en cada supuesto, no se establecen unas reglas rígidas sino que se reconoce al profesor responsable de la evaluación y la calificación del alumno la facultad de valorar y determinar en cada caso concreto cuál es el instrumento de verificación o de supervisión más adecuado para cumplir con su misión, teniendo en cuenta una serie de aspectos tales como la naturaleza de la prueba (oral o escrita, síncrona o asíncrona), su relevancia para la calificación final, o la existencia de indicios de suplantación o plagio, por mencionar solo algunos.

¿Se garantiza con esta configuración del visionado remoto y la grabación de las pruebas de evaluación en línea el respeto de la normativa sobre protección de datos personales?

Las mencionadas directrices han sido objeto de análisis y valoración por el Delegado de Protección de Datos de la UCM y se han incorporado sus observaciones encaminadas a garantizar la observancia de lo estipulado por el Reglamento 2016/679, General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), teniendo en cuenta los criterios interpretativos emitidos por la Agencia Española de Protección de Datos (AEPD).
En las directrices se contienen instrucciones precisas sobre las condiciones en las que es lícito realizar actividades de visionado remoto o de grabación de pruebas de evaluación en línea y las medidas que han de adoptar para asegurar el cumplimiento de la normativa de protección de datos.

Ha de tenerse presente, además, que al igual que ocurre con las restantes actividades desarrolladas por la UCM, todos los tratamientos de datos personales realizados en el marco de las pruebas de evaluación se desarrollan de acuerdo con su Política de Protección de Datos ( https://www.ucm.es/datos-personales). Las actividades concernidas están debidamente inventariadas en el Registro de Actividades de Tratamiento de la UCM (públicamente accesible en: https://www.ucm.es/registro-de-actividades-de-tratamiento-2, concretamente en la ficha titulada “Docencia y Evaluación en Línea”).

¿En necesario contar con el consentimiento de los afectados para la grabación o el visionado remoto de las actividades docentes y la evaluación en línea?

No. Actualmente el consentimiento de los interesados no es la única legitimación válida de los tratamientos de datos de carácter personal. El artículo 6 del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) prevé, junto al consentimiento del interesado, otras cinco posibles bases legitimadoras de los tratamientos.

¿Cuál es entonces la base jurídica que legitima el tratamiento de datos personales con motivo de estas actividades por la UCM?

La base de legitimación es la prevista en el artículo 6.1.e) del RGPD, conforme al cual el tratamiento de datos personales es lícito cuando “es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento” (art. 6.1.e RGPD).
La UCM tiene conferida la misión de prestación del servicio público de educación superior en interés público por la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades (LOU), por lo que todos aquellos tratamientos que sean necesarios para el cumplimiento de esta misión o el ejercicio de los poderes conferidos al efecto pueden sustentarse en la base del artículo 6.1.e) del RGPD, sin necesidad de recabar el consentimiento de los afectados.
En lo que respecta al visionado remoto o la grabación de las pruebas de evaluación en línea, la base legal de los tratamientos de datos personales se corrobora con lo dispuesto en el artículo 46.3 de la LOU, conforme al cual, “las Universidades establecerán los procedimientos de verificación de los conocimientos de los estudiantes”, complementado, a su vez, por el artículo 25.7 del Real Decreto 1791/2010, de 30 de diciembre, por el que se aprueba el Estatuto del Estudiante Universitario, en el que se establece que “[e]n cualquier momento de las pruebas de evaluación, el profesor podrá requerir la identificación de los estudiantes asistentes, que deberán acreditarla mediante la exhibición de su carné de estudiante, documento nacional de identidad, pasaporte o, en su defecto, acreditación suficiente a juicio del evaluador”.
En virtud de todo ello, la grabación y el visionado remoto de las clases o de las pruebas de evaluación sin el consentimiento de los interesados se encuentran legitimados en los términos exigidos por el artículo 6.1.e) RGPD, como ha reconocido la Agencia Española de Protección de Datos con carácter general en su Informe 63/2019, en el que señala que “la grabación de los exámenes orales puede ser necesaria como medio de prueba para el ejercicio de sus derechos por parte del alumno, así como para que el profesor pueda justificar la evaluación realizada, sin perjuicio de que puedan admitirse otros medios probatorios (por ejemplo, exigir al alumno un esquema de lo que va a exponer)”.
Siendo admisibles las grabaciones en situaciones de normalidad, con mayor motivo lo son en el contexto presente en el que no es posible la realización de pruebas presenciales. Por consiguiente, no hay duda de que en la situación actual en la que la Universidad ha de cumplir su misión de educación superior, el visionado remoto o la grabación del desarrollo de las pruebas pueden considerarse medidas necesarias para la verificación objetiva de los conocimientos de los estudiantes y, en consecuencia, su uso es legítimo siempre que se empleen de manera proporcionada y cumpliendo con las garantías exigidas por la normativa de protección de datos de carácter personal.

¿Puede un estudiante negarse a usar la cámara o a usar otros medios de identificación o seguimiento, como una llamada telefónica, ante requerimientos del profesor amparándose en el derecho a la protección de datos personales?

Cumpliéndose las condiciones indicadas en las preguntas anteriores, la oposición de un estudiante a ser grabado o visto, únicamente, podrá prevalecer cuando se invoque un motivo relevante relacionado con su situación personal o familiar (situaciones de diversidad funcional, violencia de género, imposibilidad de preservar el derecho a la intimidad de otros convivientes, etc.), que deberá ser alegado por el estudiante y valorado individualmente por el profesor.
En el caso de que un estudiante rechace injustificadamente la medida de identificación (o de cualquier alternativa razonable que se le ofrezca), de seguimiento o de grabación de la prueba de evaluación, el profesor, que previamente habrá informado sobre estas medidas, debería explicar al estudiante la necesidad de someterse a ciertos requisitos que garanticen la personalidad de quien realiza la prueba y el sentido de la prueba –evaluar sus conocimientos-.
Si con lo anterior no se resuelve la situación y no son posibles procedimientos alternativos, puede actuarse de la misma manera que se haría en un examen presencial, cuando un estudiante se niega a identificarse o a seguir las normas del examen: considerar que el estudiante no se ha presentado al examen (al no acreditar su personalidad). Igualmente, se recomienda que el profesor levante acta de la situación a los efectos de dar respuesta a posibles reclamaciones o, caso de tenerse sospechas de suplantación o fraude, poder iniciar la vía disciplinaria.

¿Dónde se guardan las grabaciones de las pruebas y con qué medidas de seguridad?

Las grabaciones se conservarán, con las medidas de seguridad apropiadas, en los servidores de la UCM, incluidos los de las empresas con las que tiene contratada la prestación de los correspondientes servicios y que actúan como encargados de tratamiento (actualmente: Google, Microsoft y Blackboard Connect). Está prohibido almacenar las grabaciones en cualquier otro soporte o dispositivo.
Las medidas de seguridad implementadas en la UCM se corresponden con las previstas en el Anexo II del Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Los prestadores de servicios contratados son grandes compañías del sector que han proporcionado las garantías exigidas por el RGPD en relación con las medidas de seguridad y confidencialidad apropiadas.

¿Durante cuánto tiempo se conservan los datos personales recabados durante las pruebas de evaluación?

Con carácter general, los datos personales obtenidos durante las pruebas de evaluación se conservan durante el tiempo establecido al respecto en la normativa universitaria. En el caso de las grabaciones, si su finalidad es la supervisión del normal desarrollo de la prueba se eliminan cuando, transcurrido el período de revisión, se hayan publicado las actas con las calificaciones finales. Si la finalidad de la grabación es registrar contenido de la prueba, se conservarán hasta la finalización del curso académico siguiente, de acuerdo con lo dispuesto en el art. 29.3 del Estatuto del Estudiante Universitario. En el caso de las revisiones, reclamaciones o recursos deberán conservarse hasta que exista una resolución firme.