İspanya’da çevrimiçi sınavlarda yüz tanıma sistemi kullanan bir üniversiteye, GDPR kurallarını ihlal ettiği gerekçesiyle 200.000 Euro para cezası kesilmiştir.

Kararda; Universidad Europea de Valencia’nın, öğrencilerin kimliğini doğrulamak ve sınav güvenliğini sağlamak amacıyla biyometrik veri işleyen bir gözetim mekanizması kurduğu belirtilmiştir. Bu sistem dahilinde sınav boyunca video ve ses kayıtları alınarak öğrencilerin davranışları yakın takibe tutulmuştur. Üniversite yönetimi, söz konusu veri işleme faaliyetinin öğrencilerden alınan açık rızaya dayandığını savunmuştur. Uygulamanın deneme sürecinde 153 öğrencinin hassas nitelikli kişisel verisi sisteme dahil edilmiştir.

İspanyol denetim makamı, sınavdan hemen önce istenen rızanın zaman baskısı yaratarak özgür iradeyi sakatladığına hükmetmiştir. Yapılan incelemede, yüksek riskli bu biyometrik veri işleme süreci için zorunlu olan veri koruma etki değerlendirmesinin (DPIA) yapılmadığı saptanmıştır. Kurum ayrıca, temel haklara daha az müdahale eden seçeneklerin yeterince araştırılmadığını ve bilgilendirme sürecinin belirsiz kaldığını vurgulamıştır. Üniversitenin cezayı kabul edip itiraz hakkından feragat etmesiyle birlikte toplam tutar 160.000 Euro’ya indirilmiştir.