Stan faktyczny
Impulsem do podjęcia sprawy było ujawnienie w mediach społecznościowych incydentu dotyczącego nauczycielki, której zdjęcie zostało cyfrowo przerobione w taki sposób, aby przedstawiało ją nago. Z materiałów przywołanych przez Prezesa UODO wynika, że zmanipulowany obraz został umieszczony w komentarzu pod jednym z postów pokrzywdzonej na portalu X. Sama zainteresowana publicznie poinformowała, że jej fotografia została „rozebrana” za pomocą AI i rozpowszechniona w internecie bez jej zgody, wskazując przy tym na dolegliwe skutki psychiczne zdarzenia.
W reakcji na tę sytuację Prezes UODO, działając na podstawie art. 304 § 2 KPK, skierował do Prokuratury Rejonowej Warszawa-Śródmieście zawiadomienie o uzasadnionym podejrzeniu popełnienia przestępstwa. W piśmie organ wskazał, że zachowanie sprawcy może wyczerpywać znamiona czynu z art. 107 ustawy z 10.5.2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781; dalej: OchrDanychU), polegającego na przetwarzaniu danych osobowych mimo braku dopuszczalności takiego przetwarzania albo bez uprawnienia do jego dokonania.
Sprawa nie została przez Prezesa UODO potraktowana jako jednostkowy incydent obyczajowy czy wyłącznie naruszenie dóbr osobistych. Zawiadomienie odnosi się także do szerszego problemu nadużyć technologii syntetycznych mediów, a zwłaszcza deepfake’ów wykorzystywanych do tworzenia treści intymnych bez zgody osoby, której wizerunek posłużył do ich wygenerowania. Organ podkreślił przy tym zarówno naruszenie prywatności pokrzywdzonej, jak i potencjalne zagrożenie dla jej elementarnych interesów życiowych oraz sfery psychicznej.
Stan prawny
Podstawą argumentacji Prezesa UODO jest przyjęcie, że wizerunek osoby fizycznej stanowi daną osobową, a jego cyfrowe przetworzenie przy użyciu narzędzi AI mieści się w pojęciu „przetwarzania” w rozumieniu art. 4 pkt 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 2016 Nr 119, s. 1; dalej: RODO). Organ odwołał się zatem do klasycznych definicji z art. 4 pkt 1 i 2 RODO, zgodnie z którymi dane osobowe obejmują wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, zaś przetwarzanie oznacza każdą operację wykonywaną na danych, w tym ich adaptowanie, modyfikowanie, wykorzystywanie i udostępnianie.
Na tym tle Prezes UODO uznał, że przerobienie zdjęcia pokrzywdzonej i opublikowanie takiej treści w sieci jest operacją na danych osobowych odnoszących się do konkretnej osoby. Sam fakt, że wynikowy obraz miał charakter syntetyczny i nie przedstawiał rzeczywistego ciała pokrzywdzonej, nie wyłączał, w ocenie organu, kwalifikacji tej czynności jako przetwarzania danych osobowych. Przeciwnie, skoro materiał nadal odnosił się do możliwej do zidentyfikowania osoby i wykorzystywał jej podobiznę, pozostawał w sferze ochrony wynikającej z RODO.
Kolejnym elementem rozumowania było stwierdzenie braku jakiejkolwiek podstawy legalizacyjnej z art. 6 RODO. Zawiadomienie wskazuje wprost, że nie uzyskano zgody osoby, której dane dotyczą, a z okoliczności sprawy nie wynika istnienie żadnej innej przesłanki uzasadniającej przetwarzanie. Prezes UODO przywołał również art. 9 RODO, zwracając uwagę, że w tle sprawy pojawia się problem danych dotyczących seksualności, co może dodatkowo wzmacniać ocenę bezprawności działania sprawcy. W konsekwencji organ przyjął, że doszło do niedopuszczalnego i nieuprawnionego przetwarzania danych osobowych.
Na tej podstawie zawiadomienie zostało oparte na art. 107 OchrDanychU. Przepis ten penalizuje przetwarzanie danych osobowych, mimo że ich przetwarzanie nie jest dopuszczalne albo gdy sprawca nie jest do tego uprawniony. Prezes UODO zaakcentował, że jest to przestępstwo powszechne, ścigane z urzędu, a warunkiem odpowiedzialności karnej jest sprzeczność zachowania z wymogami wynikającymi z RODO. W piśmie znalazły się także odwołania do piśmiennictwa, potwierdzające, że brak podstawy prawnej z art. 6 lub 9 RODO może prowadzić do odpowiedzialności na podstawie art. 107 OchrDanychU.
Istotny fragment zawiadomienia dotyczy także samego zjawiska deepfake. Prezes UODO zauważył, że polskie prawo nie zawiera legalnej definicji tego pojęcia, dlatego sięgnął do art. 3 pkt 60 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r., s. 1689; dalej: AIAct). Zgodnie z tym przepisem deepfake to wygenerowane lub zmanipulowane przez AI obrazy, treści audio lub wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mogą zostać niesłusznie uznane za autentyczne. Odwołanie do AIAct nie służyło tu jednak budowaniu podstawy odpowiedzialności karnej, lecz uporządkowaniu siatki pojęciowej i osadzeniu analizowanego przypadku w unijnych ramach regulacyjnych.
Prezes UODO poszedł jednak krok dalej i zakwalifikował zdarzenie jako przykład non-consensual synthetic intimate imagery, czyli syntetycznych treści intymnych tworzonych bez zgody osoby, której wizerunek wykorzystano. Organ powołał się przy tym na publikację poświęconą deepfake’om i nadużyciom na tle seksualnym, z której wynika, że tego rodzaju materiały stanowią dominującą postać seksualizowanych deepfake’ów i niemal zawsze dotykają kobiet. W zawiadomieniu wyraźnie wybrzmiewa zatem teza, że mamy do czynienia nie tylko z naruszeniem prywatności, ale z formą przemocy cyfrowej o poważnych skutkach społecznych.
Choć sprawa nie dotyczy jeszcze rozstrzygnięcia sądowego, argumentacja przedstawiona przez Prezesa UODO może mieć znaczenie wykraczające poza konkretny stan faktyczny. Z treści zawiadomienia wynika, że reżim ochrony danych osobowych może znajdować zastosowanie także w przypadku nadużyć z użyciem generatywnej AI, zwłaszcza tam, gdzie sprawca posługuje się cudzym wizerunkiem do wytworzenia materiałów stygmatyzujących, intymnych lub kompromitujących.
Komentarz
Znaczenie tej sprawy polega przede wszystkim na tym, że Stanowisko Prezesa UODO wskazuje kierunek reakcji prawnej na seksualizujące deepfake’i. Zamiast czekać na uchwalenie odrębnych przepisów krajowych odnoszących się wprost do syntetycznych treści intymnych, organ sięga po już istniejące instrumenty ochrony danych osobowych. To rozwiązanie może okazać się szczególnie istotne w realiach, w których technologia rozwija się szybciej niż ustawodawstwo.
Dla praktyki prawa ważny jest zwłaszcza wniosek, że nawet obraz w całości lub częściowo wygenerowany przez AI może nadal pozostawać daną osobową, jeżeli pozwala na identyfikację konkretnej osoby. Taki kierunek wykładni może mieć znaczenie także w innych sprawach wykorzystania wizerunku przy użyciu AI.
Równie istotne jest to, że organ nie redukuje sprawy do pytania o zgodę na wykorzystanie wizerunku. Zawiadomienie pokazuje, że w takich przypadkach analizowane powinny być jednocześnie skutki dla prywatności, godności, bezpieczeństwa psychicznego i pozycji społecznej pokrzywdzonej. Taka perspektywa może sprzyjać bardziej zdecydowanemu traktowaniu podobnych zachowań przez organy ścigania.
Jeżeli linia zaprezentowana przez Prezesa UODO utrwali się w praktyce prokuratorskiej i sądowej, polski system prawny może zyskać istotny punkt odniesienia dla spraw dotyczących nadużyć generatywnej AI. Nie rozwiąże to wszystkich problemów związanych z deepfake’ami, ale może realnie ograniczyć poczucie bezkarności sprawców. W tym sensie zawiadomienie z 24.3.2026 r. warto traktować jako ważny sygnał interpretacyjny: wykorzystanie sztucznej inteligencji nie usuwa odpowiedzialności prawnej, lecz może jedynie zmienić narzędzie, którym sprawca dopuszcza się bezprawnego działania.
Zawiadomieniu PUODO z 24.3.2026 r., DKN.5101.170.2026
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
