Prezes Urzędu Ochrony Danych Osobowych zwrócił się do Kancelarii Prezesa Rady Ministrów z wnioskiem o podjęcie działań legislacyjnych mających na celu wzmocnienie ochrony przed tzw. deepfake’ami. Wystąpienie to stanowi odpowiedź na wyrok Trybunału Sprawiedliwości Unii Europejskiej z 2.12.2025 r. w sprawie Russmedia Digital i Inform Media Press, C-492/23, który doprecyzował zakres odpowiedzialności operatorów platform internetowych za dane osobowe publikowane przez użytkowników.
Sprawa dotyczyła rumuńskiego serwisu ogłoszeniowego, na którym anonimowy użytkownik opublikował ogłoszenie zawierające zdjęcia, numer telefonu oraz inne dane kobiety, przedstawiające ją jako osobę świadczącą usługi seksualne. Publikacja nastąpiła bez jej wiedzy i zgody. Pomimo usunięcia ogłoszenia przez operatora platformy na żądanie poszkodowanej, dane zostały wcześniej rozpowszechnione i nadal pozostawały dostępne w internecie.
Trybunał orzekł, że właściciel witryny internetowej może być uznany za administratora danych osobowych zawartych w ogłoszeniach publikowanych na jego platformie, jeżeli przetwarza dane osobowe poprzez ich przechowywanie i publiczne udostępnianie oraz zapewnia narzędzia umożliwiające publikację takich treści. W konsekwencji operator odpowiada za zgodność przetwarzania z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO), w szczególności w zakresie realizacji zasady rozliczalności oraz obowiązku wdrażania odpowiednich środków organizacyjnych i technicznych.
Z opisu wyroku przedstawionego w wystąpieniu Prezesa UODO wynika również, że operator powinien ustalić, czy dane zawarte w ogłoszeniu dotyczą osoby publikującej treść, a w przypadku gdy odnoszą się do osoby trzeciej, czy publikujący dysponuje zgodą tej osoby na ich wykorzystanie. Jeżeli warunki te nie są spełnione, operator powinien uniemożliwić publikację takich danych.
Znaczenie wyroku dla odpowiedzialności platform internetowych
W ocenie Prezesa UODO wyrok TSUE ma istotne znaczenie dla oceny odpowiedzialności platform internetowych, w tym mediów społecznościowych, za dane osobowe publikowane przez użytkowników. Trybunał wskazał bowiem, że operatorzy platform przetwarzają dane osobowe poprzez ich przechowywanie i udostępnianie oraz zapewnianie narzędzi umożliwiających publikację treści, co oznacza, że nie pełnią wyłącznie funkcji technicznego pośrednika.
Interpretacja ta może oznaczać potrzebę rozważenia wdrożenia środków zapewniających zgodność publikacji danych osobowych z przepisami RODO, w szczególności w sytuacjach, gdy treści publikowane przez użytkowników zawierają dane osób trzecich. Kwestia ta ma szczególne znaczenie w kontekście rosnącej liczby przypadków publikacji materiałów generowanych z wykorzystaniem technologii sztucznej inteligencji, w tym deepfake’ów, które mogą przedstawiać osoby fizyczne w sposób nieprawdziwy lub wprowadzający w błąd.
Prezes UODO wskazał, że stanowisko Trybunału ma na celu zapewnienie możliwie szerokiej ochrony danych osobowych, w tym wizerunku, co ma szczególne znaczenie w kontekście przypadków wykorzystywania technologii sztucznej inteligencji do generowania fałszywych zdjęć lub nagrań, w tym z udziałem małoletnich, oraz zjawiska polegającego na wykorzystywaniu wizerunku znanych osób w fałszywych reklamach internetowych.
Obowiązujące regulacje krajowe i ich ograniczenia
Prezes UODO wskazał, że obowiązujące przepisy prawa polskiego zapewniają ochronę wizerunku oraz innych elementów tożsamości osoby fizycznej, jednak regulacje te nie odnoszą się wprost do specyfiki technologii deepfake. Ochrona taka wynika obecnie z różnych aktów prawnych, które regulują poszczególne aspekty ochrony praw jednostki.
Ustawa z 4.2.1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. z 2025 r. poz. 24), przewiduje obowiązek uzyskania zgody osoby na rozpowszechnianie jej wizerunku. Z Kodeks cywilny zapewnia ochronę dóbr osobistych, w tym wizerunku i głosu, umożliwiając dochodzenie roszczeń w przypadku ich naruszenia. W świetle przepisów RODO wizerunek oraz głos mogą stanowić dane osobowe, jeżeli umożliwiają identyfikację osoby fizycznej, co oznacza, że ich przetwarzanie podlega wymogom tego rozporządzenia.
Wykorzystanie deepfake’ów może być również rozpatrywane w kontekście przepisów Kodeksu karnego jako działanie wypełniające znamiona czynu zabronionego. Jak wskazał Prezes UODO, obowiązujące przepisy nie odnoszą się jednak wprost do technologii deepfake i nie przewidują szczególnych mechanizmów zapobiegania ich rozpowszechnianiu w internecie.
Znaczenie Aktu o usługach cyfrowych i planowanych zmian legislacyjnych
Zdaniem organu znaczenie dla przeciwdziałania rozpowszechnianiu nielegalnych treści mają przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 z 19.10.2022 r. w sprawie jednolitego rynku usług cyfrowych oraz zmiany dyrektywy 2000/31/WE (akt o usługach cyfrowych) (Dz.Urz. UE L z 2022 r., Nr 277, s. 1; dalej: DSA), który odnosi się do obowiązków dostawców platform internetowych, w tym w zakresie zapewnienia szczególnej ochrony małoletnich w środowisku cyfrowym. Zgodnie z art. 28 ust. 1 DSA dostawcy platform internetowych są zobowiązani do zapewnienia wysokiego poziomu prywatności, bezpieczeństwa i ochrony małoletnich.
Na poziomie unijnym podejmowane są również działania mające na celu wzmocnienie ochrony użytkowników w środowisku cyfrowym, w tym poprzez wydanie przez Komisję Europejską wytycznych dotyczących zapewnienia wysokiego poziomu prywatności i bezpieczeństwa małoletnich oraz przyjęcie przez Europejską Radę Ochrony Danych oświadczenia w lutym 2025 r. dotyczącego zapewnienia wieku użytkowników w środowisku cyfrowym.
W celu zapewnienia skutecznego stosowania przepisów DSA w Polsce planowana jest nowelizacja ŚwiadUsłElektU. Z informacji przekazanych przez Ministra Cyfryzacji wynika, że projektowane przepisy mają przewidywać procedurę wydawania nakazów podjęcia działań przeciw nielegalnym treściom, polegających na uniemożliwieniu dostępu do takich treści przez dostawcę usługi.
Prezes UODO wskazał jednak, że planowana nowelizacja nie przewiduje regulacji skonstruowanych w sposób szczególny w celu przeciwdziałania deepfake’om, co oznacza, że może nie zapewniać pełnej ochrony prawa do prywatności i innych praw podstawowych w kontekście wykorzystania technologii sztucznej inteligencji.
Potrzeba dalszych działań legislacyjnych
W ocenie Prezesa UODO wyrok TSUE w sprawie Russmedia stanowi ważny punkt odniesienia dla dalszych działań legislacyjnych w zakresie odpowiedzialności platform internetowych za publikowane treści zawierające dane osobowe. Organ nadzorczy wskazał, że konieczne jest rozważenie rozwiązań legislacyjnych uwzględniających specyfikę deepfake’ów oraz zapewniających skuteczną ochronę osób, których dane są wykorzystywane bez ich wiedzy lub zgody.
Problem deepfake’ów był również przedmiotem prac sejmowej Komisji ds. Dzieci i Młodzieży, która poparła postulaty wzmocnienia ochrony prawnej w tym obszarze i przyjęła w tej sprawie dezyderat. Zwrócono uwagę na zagrożenia związane z publikacją nieprawdziwych materiałów, w szczególności w odniesieniu do małoletnich, których ochrona została uznana za szczególnie istotną również na gruncie przepisów RODO.
Na znaczenie działań legislacyjnych w tym obszarze wskazują także dane przedstawione w raporcie organizacji WeProtect, zgodnie z którymi w 2024 r. odnotowano istotny wzrost liczby materiałów przedstawiających seksualne wykorzystanie dzieci, wygenerowanych z wykorzystaniem technologii sztucznej inteligencji, a także wzrost liczby przypadków uwodzenia małoletnich w internecie.
W ocenie Prezesa UODO wyrok TSUE w sprawie Russmedia wskazuje na konieczność podjęcia działań legislacyjnych mających na celu zapewnienie skutecznej ochrony przed deepfake’ami oraz dostosowanie krajowego porządku prawnego do wyzwań związanych z rozwojem technologii cyfrowych i ich wpływem na ochronę danych osobowych oraz prywatność jednostki.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
