L'Agence Espagnole de Protection des Données a publié une décision de sanction à l'encontre de l'Université Européenne de Valence, S.L. (comprenant le prononcé d'une amende de 200 000 €) pour des manquements liés à l'utilisation d'un logiciel de surveillance d'examens en ligne incluant un traitement de données biométriques. Cette affaire débute par une plainte déposée après que l'université a informé ses étudiants de l'obligation d'utiliser un logiciel spécifique pour les examens en ligne, lequel procédait notamment à un traitement de reconnaissance faciale.

L’enquête menée par l’autorité a permis de constater :

* Interdiction du traitement de catégories particulières de données (article 9 du RGPD) : L'université a traité les données biométriques de 153 étudiants via un logiciel de reconnaissance faciale pour vérifier leur identité lors d'examens en ligne. L'autorité a estimé que le consentement recueilli la veille des épreuves n'était pas valablement donné. En effet, l'alternative proposée en cas de refus, à savoir le report des examens, constituait un préjudice important pour les étudiants, ce qui a vicié le caractère libre du consentement requis pour le traitement de ces données sensibles.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Le traitement de données biométriques à grande échelle pour la surveillance d'examens nécessitait une analyse d'impact préalable. Or, l'université a fourni une analyse datée du 8 mai 2024, soit postérieurement aux examens d'avril 2024 où le logiciel a été utilisé. De plus, ce document n'était pas signé et présentait des contradictions, notamment en qualifiant le risque de faible alors que le traitement de données biométriques est considéré à haut risque.

En conséquence, l'autorité a sanctionné l'Université Européenne de Valence, S.L. d'une amende de 200 000 €. L'université a bénéficié d'une réduction de 20 % pour paiement volontaire, s'acquittant d'un montant de 160 000 €, ce qui a mis fin à la procédure.