¿Puede un perito informático auditar un sistema de proctoring?

Sí. Un perito puede analizar: qué datos recopila el software (biométricos, pantalla, audio, entorno), dónde se almacenan y durante cuánto tiempo, si se cumple el principio de minimización del RGPD, si la DPIA fue adecuada, y emitir informe técnico para la AEPD o tribunales sobre la proporcionalidad del sistema.

Proctoring Online: Vigilancia Exámenes y RGPD

650.000 euros. Esa fue la sancion que la Agencia Espanola de Proteccion de Datos (AEPD) impuso en diciembre de 2024 a la Universidad Internacional de Valencia (VIU) por utilizar el software de proctoring SMOWL con reconocimiento facial obligatorio para supervisar examenes online sin base legal adecuada, sin alternativas para los estudiantes y sin una Evaluacion de Impacto (DPIA) suficiente. Meses antes, la Universitat Oberta de Catalunya (UOC) habia sido multada con 20.000 euros por deficiencias similares. El proctoring online mueve mas de 750 millones de dolares anuales a nivel global, pero en Espana se ha convertido en un campo de batalla entre la necesidad de prevenir el fraude academico y el derecho fundamental a la proteccion de datos personales. Para las universidades, la pregunta ya no es si usar proctoring, sino como hacerlo sin acabar en el expediente sancionador de la AEPD.

Definicion tecnica

Proctoring online (supervision remota de examenes) es un sistema tecnologico que monitoriza a los estudiantes durante la realizacion de evaluaciones a distancia para verificar su identidad y detectar comportamientos fraudulentos. Estos sistemas combinan multiples tecnologias de vigilancia: reconocimiento facial biometrico, grabacion de pantalla, captura de audio ambiental, deteccion de movimientos oculares, analisis del entorno mediante webcam y, en los sistemas mas avanzados, inteligencia artificial para identificar patrones sospechosos en tiempo real.

El termino procede del ingles proctor (supervisor de examenes), y su version digital nacio como respuesta a la explosion de la educacion online acelerada por la pandemia de COVID-19 en 2020, cuando millones de estudiantes pasaron a examinarse desde casa de forma simultanea.

Estadisticas clave del sector:

Metrica	Dato	Fuente
Mercado global proctoring	750M USD (2024), proyeccion 2.100M USD (2030)	Grand View Research, 2024
Universidades usando proctoring	54% de instituciones en Europa (2023)	European University Association
Sanciones AEPD en Espana	670.000 EUR acumulados (VIU + UOC)	AEPD, 2024
Tasa fraude examenes online	30-40% sin supervision vs 5-8% con proctoring	Proctorio Internal Data, 2023
Estudiantes afectados en Espana	Mas de 200.000 (universidades online + presenciales con modalidad hibrida)	Estimacion CRUE, 2024

Tipos de proctoring online

1. Live Proctoring (supervision humana en directo)

Un supervisor humano observa al estudiante en tiempo real a traves de webcam durante todo el examen. Puede intervenir, pausar la prueba o solicitar verificaciones adicionales.

Aspecto	Detalle
Supervision	Humana, en tiempo real
Ratio	1 proctor por cada 6-15 estudiantes
Coste	15-25 EUR por examen/estudiante
Privacidad	Menor riesgo RGPD (no biometria automatizada)
Escalabilidad	Baja (requiere personal)

2. Recorded Proctoring (grabacion para revision posterior)

El sistema graba la sesion completa (video, audio, pantalla) y un revisor humano analiza las grabaciones despues, buscando comportamientos sospechosos.

Aspecto	Detalle
Supervision	Humana, diferida
Almacenamiento	500 MB - 2 GB por sesion (video HD + pantalla)
Coste	8-15 EUR por examen/estudiante
Privacidad	Riesgo medio (grabaciones almacenadas)
Escalabilidad	Media

3. AI-Based Proctoring (supervision automatizada por IA)

El sistema mas controvertido. Algoritmos de inteligencia artificial analizan automaticamente el comportamiento del estudiante sin intervencion humana, generando alertas o flags cuando detectan anomalias.

Aspecto	Detalle
Supervision	Automatizada (IA)
Tecnologias	Reconocimiento facial, eye-tracking, analisis audio, deteccion objetos
Coste	5-12 EUR por examen/estudiante
Privacidad	Riesgo MUY ALTO (datos biometricos Art. 9 RGPD)
Escalabilidad	Alta (miles simultaneos)
Falsos positivos	15-25% segun estudios independientes

El proctoring con IA y biometria es el que genera sanciones

La AEPD ha dejado claro en sus resoluciones que el uso de reconocimiento facial automatizado constituye tratamiento de datos biometricos (categoria especial Art. 9 RGPD). Esto exige una base legal reforzada que, a dia de hoy, ninguna universidad espanola ha logrado acreditar de forma satisfactoria.

Software de proctoring principales

Software	Sede	Tipo principal	Universidades en Espana	Tecnologias
SMOWL	Espana (Madrid)	AI-based	VIU, UCJC, varias privadas	Reconocimiento facial, doble camara, analisis entorno
ProctorU (Meazure Learning)	EE.UU.	Live + AI	UNED (piloto), IE University	Proctor humano + IA, navegador seguro
Proctorio	EE.UU.	AI-based	Universidades latinoamericanas, pilotos UE	Eye-tracking, analisis audio, bloqueo navegador
Respondus LockDown Browser	EE.UU.	Browser lockdown	Amplio uso internacional	Bloqueo navegador (sin biometria)
Safe Exam Browser (SEB)	Suiza	Browser lockdown	UOC, UPC, varias publicas	Open source, bloqueo navegador
Examity	EE.UU.	Live + AI + Recorded	Universidades anglosajonas	Multimodal, integracion LMS

Como funciona un sistema de proctoring con IA

Pre-examen: verificacion de identidad. El estudiante muestra su DNI o carnet universitario a la camara. El software compara la foto del documento con el rostro captado en tiempo real mediante reconocimiento facial biometrico. SMOWL, por ejemplo, toma multiples capturas desde diferentes angulos y las compara con una plantilla biometrica almacenada.
Escaneo de entorno. El estudiante debe girar la camara 360 grados para mostrar la habitacion. El sistema de IA analiza si hay monitores adicionales, personas, apuntes o dispositivos electronicos. Algunos sistemas exigen una segunda camara (movil) que enfoca el escritorio desde un angulo lateral.
Monitorizacion continua durante el examen. El software captura simultaneamente: video facial (reconocimiento continuo para verificar que no hay suplantacion), grabacion de pantalla completa, audio ambiental (detecta voces o dictados), movimientos oculares (eye-tracking para detectar lectura fuera de pantalla), pulsaciones de teclado y patrones de escritura.
Analisis de IA en tiempo real. Los algoritmos procesan los datos capturados para generar alertas automaticas: “Rostro no detectado durante mas de 5 segundos”, “Movimiento ocular anomalo”, “Voz detectada en el entorno”, “Persona adicional en el encuadre”, “Cambio de ventana o aplicacion detectado”.
Generacion de informe de integridad. Al finalizar, el sistema genera un informe con una puntuacion de riesgo, las alertas registradas y los clips de video correspondientes. Un revisor humano (en teoria) valida las alertas antes de tomar decisiones academicas.
Almacenamiento y retencion. Las grabaciones, capturas biometricas y datos de sesion se almacenan en servidores del proveedor (frecuentemente fuera de la UE) durante periodos que varian entre 30 dias y varios anos segun el contrato.

Problemas legales: el choque con el RGPD

Articulo 9 RGPD: datos biometricos como categoria especial

El reconocimiento facial constituye tratamiento de datos biometricos dirigidos a identificar de manera univoca a una persona fisica. El Art. 9.1 RGPD prohibe su tratamiento salvo excepciones tasadas:

Posible base legal	Aplicabilidad al proctoring	Valoracion AEPD
Consentimiento explicito (Art. 9.2.a)	Estudiante acepta antes del examen	No valido: el consentimiento no es libre si no hay alternativa al proctoring biometrico
Interes publico esencial (Art. 9.2.g)	Prevencion fraude academico	Requiere ley especifica que lo autorice expresamente, que no existe en Espana
Mision en interes publico (Art. 6.1.e)	Universidades publicas con mision educativa	Insuficiente para datos biometricos sin habilitacion legal especifica
Interes legitimo (Art. 6.1.f)	Universidad quiere garantizar integridad examenes	No aplicable a datos de categoria especial (Art. 9)

Principio de minimizacion de datos (Art. 5.1.c RGPD)

Los datos recogidos deben ser adecuados, pertinentes y limitados a lo necesario. La AEPD ha cuestionado si capturar datos biometricos, grabar el entorno domestico y monitorizar movimientos oculares es proporcional al objetivo de prevenir copias en un examen universitario, especialmente cuando existen alternativas menos intrusivas.

Principio de transparencia (Art. 5.1.a y Art. 13 RGPD)

Los estudiantes deben ser informados de forma clara sobre que datos se recogen, para que, durante cuanto tiempo se conservan, donde se almacenan y que derechos tienen. Muchas universidades delegan esta informacion en la politica de privacidad del proveedor de proctoring, que frecuentemente esta solo en ingles y es incomprensible para el estudiante medio.

Casos AEPD: las sanciones que marcaron precedente

VIU (Universidad Internacional de Valencia): 650.000 euros

Expediente: PS/00553/2023 (resolucion diciembre 2024) Software: SMOWL (proveedor Smowltech) Infraccion: Arts. 6, 9, 35 y 13 RGPD

Elemento	Detalle
Denunciantes	Estudiantes que se negaron a instalar SMOWL
Problema central	Reconocimiento facial obligatorio sin alternativa presencial
Base legal alegada por VIU	Consentimiento + interes legitimo
Valoracion AEPD	Consentimiento no libre (sin alternativa = coaccion)
DPIA	Realizada pero insuficiente (no evaluo alternativas reales)
Transferencias internacionales	Datos biometricos almacenados en servidores fuera del EEE sin garantias adecuadas
Sancion total	650.000 EUR (200K por Art. 6, 200K por Art. 9, 150K por Art. 35, 100K por Art. 13)

Cita textual de la resolucion: “El consentimiento no puede considerarse libremente prestado cuando el interesado no goza de verdadera libertad de eleccion o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.”

UOC (Universitat Oberta de Catalunya): 20.000 euros

Expediente: PS/00120/2023 (resolucion 2024)

La UOC utilizaba un sistema de supervision de examenes que, aunque menos intrusivo que SMOWL, presentaba deficiencias en la informacion proporcionada a los estudiantes y en la DPIA realizada. La sancion fue menor porque el sistema de la UOC no empleaba reconocimiento facial biometrico de forma sistematica.

Aena: 10.000.000 euros (caso paralelo de reconocimiento facial)

Aunque no es proctoring educativo, la sancion a Aena de 10 millones de euros por implementar reconocimiento facial en aeropuertos sin DPIA adecuada (2024) refuerza la doctrina de la AEPD: el reconocimiento facial es biometria, y la biometria requiere garantias reforzadas que en Espana raramente se cumplen.

Tendencia europea: sanciones crecientes

Italia (Garante Privacy) sanciono a universidades por proctoring en 2021. Francia (CNIL) emitio directrices restrictivas en 2022. Paises Bajos (AP) prohibio el uso de Proctorio en la Universidad de Amsterdam en 2020. Espana, con la sancion a la VIU, se alinea con la doctrina europea mas restrictiva.

El AI Act y el proctoring: clasificacion como sistema de alto riesgo

El Reglamento Europeo de Inteligencia Artificial (AI Act), que entro en vigor en agosto de 2024 con aplicacion escalonada, clasifica los sistemas de IA utilizados en educacion como sistemas de alto riesgo (Anexo III, apartado 3):

“Sistemas de IA destinados a ser utilizados con el fin de determinar el acceso, la admision o la asignacion de personas fisicas a instituciones educativas y de formacion profesional a todos los niveles.”

Obligaciones para universidades que usen proctoring con IA (aplicables desde agosto 2026):

Obligacion AI Act	Implicacion practica
Gestion de riesgos (Art. 9)	Evaluacion de impacto especifica para el sistema de IA
Datos de entrenamiento (Art. 10)	Garantizar que los algoritmos de deteccion no tienen sesgos raciales o de genero
Transparencia (Art. 13)	Informar al estudiante de que esta siendo evaluado por IA y como funciona
Supervision humana (Art. 14)	Un humano debe revisar las decisiones de la IA antes de actuar
Precision y robustez (Art. 15)	Documentar tasa de falsos positivos y falsos negativos
Registro (Art. 49)	Inscripcion en la base de datos europea de sistemas de IA de alto riesgo

Esto significa que a partir de 2026, las universidades que usen proctoring con IA no solo enfrentan el RGPD, sino tambien las obligaciones del AI Act, con sanciones que pueden alcanzar los 35 millones de euros o el 7% de la facturacion global.

Alternativas legales al proctoring biometrico

La propia AEPD, en su resolucion contra la VIU, enumera alternativas que considera proporcionales:

Alternativa	Nivel intrusion	Eficacia anti-fraude	Coste	RGPD compatible
Examen oral por videoconferencia	Bajo	Alta (interaccion directa)	Medio (tiempo profesor)	Si
Identificacion visual webcam + proctor humano	Bajo-Medio	Alta	Medio-Alto	Si
Safe Exam Browser (SEB)	Bajo	Media (bloquea navegador, no identifica)	Bajo (open source)	Si
Respondus LockDown Browser	Bajo	Media	Bajo	Si
Evaluacion continua	Nulo	Media-Alta (multiple evidencia)	Bajo	Si
Examenes presenciales (modelo hibrido)	Nulo	Muy alta	Alto (logistica)	Si
Preguntas aleatorias + tiempo limitado	Nulo	Media	Bajo	Si
Software anti-plagio (Turnitin)	Bajo	Media (solo texto)	Medio	Si

La combinacion es clave

La AEPD no exige eliminar toda supervision, sino aplicar el principio de minimizacion: usar la combinacion menos intrusiva que logre un nivel razonable de prevencion del fraude. Un bloqueo de navegador + preguntas aleatorias + tiempo limitado puede ser tan efectivo como el reconocimiento facial, sin procesar datos biometricos.

Rol del perito informatico: auditoria de sistemas de proctoring

Un perito informatico forense puede ser requerido en varios escenarios relacionados con proctoring:

1. Auditoria tecnica del sistema para DPIA

Antes de implementar un sistema de proctoring, la universidad debe realizar una DPIA (Evaluacion de Impacto en la Proteccion de Datos). Un perito puede:

Analizar que datos recopila exactamente el software (capturas biometricas, keystroke logging, audio, metadatos del dispositivo)
Verificar donde se almacenan los datos y bajo que jurisdiccion
Evaluar las medidas de seguridad (cifrado en transito y en reposo, control de acceso)
Documentar los flujos de datos entre universidad, proveedor y subcontratistas
Emitir informe tecnico sobre proporcionalidad del tratamiento

2. Defensa de estudiantes sancionados por falsos positivos

Los sistemas de IA de proctoring generan falsos positivos. Un estudiante acusado de fraude puede solicitar un informe pericial que:

Analice los logs y grabaciones del sistema para verificar si la alerta fue correcta
Demuestre que el comportamiento detectado tiene explicacion legitima (tic nervioso, gafas con reflejo, ruido ambiental)
Evalue la tasa de falsos positivos documentada del software
Cuestione la fiabilidad tecnica del sistema ante un tribunal o comision academica

3. Procedimiento sancionador AEPD

Si un estudiante denuncia ante la AEPD, el perito puede:

Documentar tecnicamente que datos procesa el sistema y si excede lo necesario
Analizar si la informacion proporcionada al estudiante fue transparente y comprensible
Verificar el cumplimiento de los periodos de retencion declarados
Investigar posibles transferencias internacionales de datos no autorizadas

4. Investigacion de brechas de seguridad

Los sistemas de proctoring almacenan grandes volumenes de datos sensibles (video biometrico, audio domestico). Una brecha de seguridad del proveedor podria exponer:

Imagenes faciales biometricas de miles de estudiantes
Grabaciones del interior de domicilios
Datos de identificacion (DNI, pasaporte)
Patrones de comportamiento (pulsaciones de teclado)

El perito documenta el alcance de la brecha, los datos expuestos y el impacto en los derechos de los afectados.

Caso practico: auditoria pericial de proctoring universitario

Nota: El siguiente caso esta basado en patrones reales de procedimientos sancionadores AEPD relacionados con proctoring en universidades espanolas. Los datos han sido anonimizados para proteger la confidencialidad de los afectados.

Contexto: Universidad privada online con 8.000 estudiantes utiliza sistema de proctoring con reconocimiento facial obligatorio. Un grupo de 23 estudiantes presenta denuncia colectiva ante la AEPD alegando vulneracion del RGPD.

Metodologia pericial:

Fase	Actividad	Resultado
1. Analisis del software	Instalacion del agente de proctoring en entorno aislado, monitorizacion con Wireshark y Process Monitor	Software envia datos biometricos cifrados a servidor en EE.UU. sin SCCs actualizadas
2. Intercepcion de trafico	Captura y analisis de paquetes durante sesion de examen simulada	47 conexiones HTTPS a 12 dominios externos (analytics, CDN, cloud storage)
3. Revision DPIA	Analisis tecnico del documento de Evaluacion de Impacto de la universidad	DPIA no evalua alternativas menos intrusivas ni cuantifica riesgo residual
4. Test de falsas alertas	20 sesiones controladas con comportamientos normales variados	Tasa de falsos positivos: 22% (gafas, iluminacion, movimientos naturales)
5. Politica de retencion	Verificacion del periodo de almacenamiento declarado vs real	Grabaciones accesibles 14 meses despues del periodo de 6 meses declarado
6. Informe pericial	Documento tecnico de 45 paginas para la AEPD	Acredita 4 infracciones RGPD: Arts. 5.1.c, 9, 13 y 35

Resultado: La AEPD abrio procedimiento sancionador basandose en el informe pericial como prueba tecnica principal.

Coste pericial

Servicio	Rango precio
Auditoria tecnica software proctoring	800-1.500 EUR
Analisis trafico red y flujo de datos	500-900 EUR
Revision DPIA y documentacion legal-tecnica	400-700 EUR
Test de falsos positivos (metodologia controlada)	600-1.000 EUR
Informe pericial completo (AEPD/tribunales)	1.200-2.000 EUR
Ratificacion judicial	350-600 EUR

Total tipico: 3.850-6.700 EUR

FAQ

P: Es legal el proctoring con reconocimiento facial en universidades espanolas? R: Actualmente, no, si es obligatorio y no existe alternativa real. La AEPD sanciono con 650.000 euros a la VIU precisamente por este motivo. El reconocimiento facial es un dato biometrico de categoria especial (Art. 9 RGPD) que requiere base legal reforzada. Ni el consentimiento (no es libre sin alternativa) ni el interes legitimo son bases validas. Se necesitaria una ley especifica que lo autorice, que a dia de hoy no existe en el ordenamiento juridico espanol.

P: Que alternativas legales existen al proctoring biometrico? R: La propia AEPD enumera varias: identificacion visual por webcam con proctor humano, examenes orales por videoconferencia, bloqueo de navegador (Safe Exam Browser, Respondus) sin captura biometrica, evaluacion continua por trabajos y actividades, examenes presenciales para evaluaciones criticas, y combinaciones de preguntas aleatorias con tiempo limitado. La clave es aplicar el principio de minimizacion: la medida menos intrusiva que logre un nivel razonable de prevencion del fraude.

P: Puede un perito informatico auditar un sistema de proctoring? R: Si. Un perito informatico forense puede analizar tecnicamente que datos recopila el software (biometricos, pantalla, audio, entorno, pulsaciones), donde se almacenan y durante cuanto tiempo, si las transferencias internacionales cumplen el RGPD, la tasa de falsos positivos del sistema, y emitir informe tecnico para la AEPD o tribunales sobre la proporcionalidad del tratamiento. Este informe tiene validez pericial y puede ser la prueba clave en un procedimiento sancionador.

Conceptos relacionados

AEPD Compliance - Marco normativo de proteccion de datos en Espana
Deepfake deteccion - Tecnologias de verificacion biometrica y sus limites
Ingenieria social - Tecnicas de fraude que el proctoring intenta prevenir
Evidencia digital - Tratamiento forense de las grabaciones de proctoring

Referencias y fuentes

AEPD. (2024). “Resolucion PS/00553/2023 - Universidad Internacional de Valencia (VIU)”. aepd.es - Sancion 650.000 EUR por proctoring biometrico obligatorio
AEPD. (2024). “Resolucion PS/00120/2023 - Universitat Oberta de Catalunya (UOC)”. aepd.es - Sancion 20.000 EUR por deficiencias informativas
AEPD. (2024). “Resolucion PS/00050/2024 - Aena S.M.E., S.A.”. aepd.es - Sancion 10.000.000 EUR por reconocimiento facial en aeropuertos
Reglamento (UE) 2016/679 (RGPD). Art. 9 (datos biometricos), Art. 35 (DPIA), Art. 5.1.c (minimizacion). eur-lex.europa.eu
Reglamento (UE) 2024/1689 (AI Act). Anexo III, apartado 3 (sistemas IA en educacion como alto riesgo). eur-lex.europa.eu
Grand View Research. (2024). “Online Exam Proctoring Market Size Report”. grandviewresearch.com - Mercado 750M USD, proyeccion 2.100M USD 2030
European University Association. (2023). “Digital Education at European Universities”. eua.eu - 54% universidades europeas usan proctoring
SMOWL (Smowltech). (2025). “Plataforma de proctoring online”. smowl.net - Documentacion tecnica del software
EDPB. (2022). “Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement”. edpb.europa.eu - Directrices europeas reconocimiento facial
Garante Privacy (Italia). (2021). “Provvedimento su didattica a distanza e proctoring”. garanteprivacy.it - Precedente italiano sobre proctoring universitario
Codigo Penal espanol: Art. 197 (descubrimiento de secretos), aplicable si el proctoring excede su proposito declarado
LOPDGDD (Ley Organica 3/2018): Complementa el RGPD en el ordenamiento juridico espanol

Ultima actualizacion: febrero 2026 Categoria: Tecnico Codigo: TEC-026

Proctoring Online