L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de l'Université Télématique e-Campus, comprenant le prononcé d'une amende de 50 000 €, pour des manquements liés à l'utilisation d'un système de reconnaissance faciale pour vérifier la présence de ses étudiants à un cours en ligne. Cette affaire débute par un signalement informant l'autorité que l'université utilisait un système de reconnaissance faciale pour identifier les participants à un cours et vérifier leur présence, en conditionnant la participation à l'obtention de leur consentement.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (articles 6 et 9 du RGPD) : L'université a traité les données biométriques de ses étudiants pour vérifier leur présence à un cours en ligne en se fondant sur leur consentement. L'autorité a jugé cette base juridique invalide en raison du déséquilibre manifeste entre l'étudiant et l'établissement, qui exerce une mission d'intérêt public. Le consentement n'était pas libre, son refus entraînant l'impossibilité de suivre la formation. De plus, les lignes directrices de l'Agence Nationale d'Évaluation du système Universitaire et de la Recherche (ANVUR) invoquées par l'université ne constituent pas une base légale adéquate pour un tel traitement.

* Obligation de minimisation, de limitation de la conservation et de protection des données dès la conception (article 5, paragraphe 1, points c) et e) et 25 du RGPD) : L'université a conservé les données biométriques pour des durées jugées excessives, initialement jusqu'à 12 mois. L'autorité a estimé que cette conservation était disproportionnée, notamment car en cas d'échec de l'identification biométrique, une vérification par des moyens traditionnels aurait pu être effectuée immédiatement, rendant inutile la conservation prolongée des données collectées.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'université n'a pas réalisé d'analyse d'impact avant de mettre en œuvre le traitement, estimant à tort que celui-ci ne présentait pas de risque élevé. L'autorité a rappelé que cette analyse était obligatoire en raison du traitement à grande échelle de données biométriques et de l'usage d'une technologie innovante. Le document produit en cours d'enquête a été jugé insuffisant pour démontrer le respect de cette obligation.

En conséquence, l’autorité a imposé une amende de 50 000 € à l'Université Télématique e-Campus.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.