Fałszywy wizerunek pozostaje daną osobową
W reklamach przetwarzane były nie tylko zdjęcia, lecz także nazwisko, głos, funkcja zawodowa, rozpoznawalność oraz przypisane danej osobie wypowiedzi i zachowania. Każda z tych informacji może być daną osobową, jeżeli pozwala ustalić, kogo przedstawia materiał. Nie zmienia tego przerobienie obrazu, sklonowanie głosu ani wymyślenie wypowiedzi. Fałszywa informacja również może dotyczyć oznaczonej osoby i wpływać na jej reputację.
Publiczna dostępność zdjęcia lub nagrania nie oznacza zgody na dowolne dalsze użycie. Status osoby publicznej ma znaczenie przy ważeniu ochrony danych z wolnością wypowiedzi, zwłaszcza w prasie. Trudno jednak przenieść ten argument na płatną reklamę pozorującą rekomendację produktu finansowego albo rozpowszechniającą zmyślone informacje.
Wizerunek nie jest automatycznie daną biometryczną szczególnej kategorii. Aby zastosowanie znalazł art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO), dane muszą powstać w wyniku specjalnego przetwarzania technicznego i służyć jednoznacznej identyfikacji osoby. Tworzenie deepfake’u może obejmować analizę twarzy lub głosu, lecz jego kwalifikacja wymaga zbadania technologii i celu. Sama rozpoznawalność wystarcza do uznania materiału za dane osobowe.
Dwa strumienie danych
W sprawie występują dwa strumienie danych. Pierwszy obejmuje osoby, pod które podszywają się oszuści, a ich rozpoznawalność uwiarygadnia przekaz. Drugi dotyczy użytkowników, którym reklama jest wyświetlana. System reklamowy dobiera odbiorców przy użyciu parametrów kampanii, profili, przewidywanych zainteresowań i wyników wcześniejszych interakcji.
Nie wystarczy więc ustalić, kto przygotował film. Trzeba zbadać, kto decydował o jego przyjęciu do systemu, zasięgu, odbiorcach i wyświetleniu. Bez danych platformy nie można przesądzać, jakie kryteria zastosowano. Problem dotyczy jednak zarówno danych osób podszywanych, jak i profilowania potencjalnych ofiar.
Autor oszustwa i platforma odpowiadają za różne operacje
Administratorem jest co do zasady podmiot, który pozyskuje materiały źródłowe, tworzy fałszywy przekaz i zleca jego emisję. W przypadku reklamy służącej wyłudzeniu trudno wskazać podstawę z art. 6 RODO. Bezprawność, nierzetelność i brak przejrzystości są wpisane w cel działania.
Rola platformy nie musi się jednak sprowadzać do technicznego przechowania pliku. Meta określa istotne elementy systemu reklamowego: warunki dopuszczenia i weryfikacji reklamy, reguły aukcji, targetowanie, optymalizację, raportowanie i retencję danych. W tym zakresie należy oceniać jej status administratora i obowiązki wynikające z RODO.
Odpowiedzialność za przetwarzanie nie jest odpowiedzialnością za autorstwo. Platforma nie musi stworzyć deepfake’u, aby odpowiadać za etapy, których cele i sposoby sama określa. Nie należy jednak automatycznie uznawać jej za współadministratora wcześniejszego pozyskania materiałów i wygenerowania filmu. W orzecznictwie Trybunału Sprawiedliwości współadministracja jest odnoszona do konkretnych operacji i rzeczywistego udziału w ustalaniu ich celów oraz sposobów.
Po zgłoszeniu trudniej powołać się na uzasadniony interes
Dla własnych operacji związanych z emisją reklamy platforma mogłaby wskazywać uzasadniony interes z art. 6 ust. 1 lit. f RODO. Wymaga to jednak zgodnego z prawem interesu, niezbędności przetwarzania i wykazania, że nie przeważają prawa oraz wolności osoby, której dane dotyczą. Komercyjny interes w świadczeniu usług reklamowych nie uzasadnia automatycznie rozpowszechniania fałszywej rekomendacji.
Ocena staje się bardziej jednoznaczna po otrzymaniu wiarygodnego i precyzyjnego zgłoszenia. Administrator zna wówczas tożsamość pokrzywdzonego, charakter manipulacji i ryzyko dalszych szkód. Powtarzanie reklam wykorzystujących ten sam schemat może rodzić pytania o podstawę prawną, rzetelność, rozliczalność i ochronę danych w fazie projektowania, wynikające z art. 5, 24 i 25 RODO.
RODO nie czyni platformy gwarantem prawdziwości wszystkich publikowanych informacji. Wymaga jednak adekwatnej reakcji na ujawnione ryzyko. Możliwe środki to weryfikacja reklamodawców, wykrywanie podmiotów wracających po blokadzie, analiza powiązanych płatności i stron docelowych oraz kontrola kampanii wysokiego ryzyka.
Środki muszą być proporcjonalne. Ochrona przed deepfake’ami nie powinna prowadzić do powszechnego rozpoznawania twarzy, ponieważ tworzyłoby to nowe ryzyko. Pierwszeństwo powinno mieć wykrywanie powtarzalnych kampanii, reklamodawców, plików i schematów oszustwa, a nie ogólna baza biometryczna.
Interwencja UODO była tymczasowa
W sierpniu 2024 r. Prezes UODO zobowiązał Meta Platforms Ireland Limited do wstrzymania przez trzy miesiące wyświetlania w Polsce fałszywych reklam wykorzystujących dane Rafała Brzoski i Omeny Mensah. Zastosował art. 66 ust. 1 RODO, pozwalający organowi krajowemu w wyjątkowych okolicznościach przyjąć pilne środki tymczasowe, mimo że wiodącym organem dla Mety jest organ irlandzki.
Polski organ mógł niezwłocznie zareagować, ale środek nie mógł obowiązywać dłużej niż trzy miesiące. Opierał się na uprawdopodobnieniu naruszenia i pilnej potrzebie ochrony praw, nie przesądzając ostatecznie odpowiedzialności.
W grudniu 2024 r. Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania postanowień. W marcu 2025 r. Meta wycofała skargi, a postępowania sądowoadministracyjne umorzono. Nie oznacza to jednak merytorycznego potwierdzenia stanowiska UODO przez sąd ani przyznania odpowiedzialności przez Metę. Środek z 2024 r. nie był też bezterminowym zakazem obowiązującym nadal w 2026 r.
„Przełomowy wyrok” jeszcze nie zapadł
Równolegle Rafał Brzoska i Omena Mensah wystąpili z powództwem o ochronę dóbr osobistych. Według dostępnych relacji Sąd Okręgowy w Warszawie udzielił im w listopadzie 2024 r. zabezpieczenia, a 27.3.2026 r. Sąd Apelacyjny rozpoznał zażalenie Mety, utrzymując ochronę Omeny Mensah i modyfikując zabezpieczenie Rafała Brzoski.
Znaczenie rozstrzygnięcia polega na wstępnej ocenie roli platformy przy płatnych reklamach. Sąd miał uwzględnić weryfikowanie materiałów przed emisją, pobieranie wynagrodzenia i udział systemów Mety w targetowaniu. Może to utrudniać automatyczne powoływanie się na wyłączenie odpowiedzialności przysługujące biernemu dostawcy hostingu.
Określanie postanowienia jako „precedensowego wyroku” jest jednak nieprecyzyjne. Sąd badał, czy roszczenie zostało uprawdopodobnione i wymaga zabezpieczenia do zakończenia procesu. Nie był to wyrok przesądzający odpowiedzialność Mety za wszystkie oszukańcze reklamy. Znaczenie precedensowe będzie można ocenić dopiero po rozstrzygnięciu sprawy głównej.
Prawa osoby pokrzywdzonej
Osoba, której dane wykorzystano, może zależnie od okoliczności żądać ich usunięcia, ograniczenia przetwarzania, sprostowania nieprawdziwych informacji oraz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Może także złożyć skargę do organu nadzorczego, wystąpić do sądu i dochodzić odszkodowania za szkodę majątkową lub niemajątkową, wykazując naruszenie, szkodę i związek przyczynowy.
Prawa te nie uzasadniają automatycznego usunięcia każdej wzmianki o osobie. Administrator powinien odróżnić oszukańczą reklamę od informacji prasowej, krytyki, satyry lub relacji o sporze. Wolność wypowiedzi i interes publiczny mogą uzasadniać przetwarzanie w tych ostatnich sytuacjach, ale nie powinny osłaniać płatnego komunikatu podszywającego się pod oznaczoną osobę w celu wyłudzenia pieniędzy.
Zgłoszenie powinno wskazywać naruszenie regulaminu i bezprawne przetwarzanie danych. Warto zabezpieczyć identyfikator i adres reklamy, zrzuty ekranu, czas emisji, dane reklamodawcy oraz odpowiedzi platformy. Materiał może służyć wykazaniu wiedzy usługodawcy i wspierać dochodzenie roszczeń na podstawie RODO, DSA i prawa cywilnego.
Odpowiedzialność zaczyna się od kontroli nad systemem
RODO nie czyni platformy gwarantem prawdziwości internetu, ale nie pozwala jej ignorować własnego udziału w przetwarzaniu tylko dlatego, że plik przesłał reklamodawca. Im większy wpływ na selekcję, dystrybucję i monetyzację reklamy oraz wiedza o powtarzającym się naruszeniu, tym trudniej przedstawiać rolę platformy jako wyłącznie techniczną.
Sprawa nie prowadzi zatem do wniosku, że Meta odpowiada za cały internet. Pokazuje natomiast, że podmiot projektujący system reklamowy, określający sposoby wykorzystania danych i czerpiący korzyści z ich rozpowszechniania, musi wykazać zgodność własnych operacji z prawem oraz skutecznie przerwać bezprawne przetwarzanie, gdy zostanie ono wiarygodnie wykazane.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
