Deepfake z udziałem uczennicy i dane osobowe. UODO kwestionuje umorzenie sprawy

Sprawa wygenerowanego przy użyciu sztucznej inteligencji nagiego wizerunku 14-letniej uczennicy pokazuje, że szkolne incydenty z obszaru cyberprzemocy coraz częściej dotykają nie tylko wychowania i bezpieczeństwa, lecz także ochrony danych osobowych. Prezes Urzędu Ochrony Danych Osobowych po raz kolejny zakwestionował rozstrzygnięcie organów ścigania — tym razem zaskarżając do sądu umorzenie śledztwa — i zarzucił prokuraturze błędną interpretację art. 107 Ustawy o ochronie danych osobowych oraz brak czynności zmierzających do ustalenia tożsamości sprawców.

Warto na wstępie zaznaczyć jedno: przedstawione niżej oceny prawne to stanowisko organu nadzorczego, które pozostaje przedmiotem sporu z prokuraturą i nie zostało dotąd rozstrzygnięte przez sąd. Prokuratura konsekwentnie prezentuje ocenę odmienną. Artykuł opisuje więc nie stan prawny przesądzony wyrokiem, lecz argumentację, którą UODO uznaje za istotną również z perspektywy szkół.

Jak wyglądała sprawa

Zawiadomienie o możliwości popełnienia przestępstwa złożyli — niezależnie od siebie — rodzic pokrzywdzonej, sama szkoła oraz Prezes UODO. Sprawcy nie tylko wygenerowali i opublikowali w mediach społecznościowych przerobiony, nagi wizerunek koleżanki, ale też zachęcali innych do „zamawiania” kolejnych takich obrazów.

Organy ścigania początkowo odmówiły wszczęcia postępowania (czerwiec 2025 r.), uznając m.in., że czyn nie wyczerpuje znamion przestępstw z art. 190a § 2 i art. 202 § 3 Kodeksu karnego oraz z art. 107 ust. 1 Ustawy o ochronie danych osobowych, że wygenerowana fotografia nie ma charakteru pornograficznego, a pokrzywdzona nie poniosła szkody majątkowej ani osobistej. Po interwencji Prezesa UODO i wystąpieniu do Prokuratora Generalnego sprawa została podjęta na nowo, jednak w lutym 2026 r. prokurator umorzył śledztwo — jak wskazuje UODO, bez przeprowadzenia nowych czynności dowodowych. To właśnie to postanowienie Prezes UODO zaskarżył do sądu w czerwcu 2026 r.

Wizerunek uczennicy jako dane osobowe

W komunikatach UODO sprawę opisano jako wykorzystanie narzędzi opartych na sztucznej inteligencji do stworzenia obrazu o charakterze intymnym, przedstawiającego osobę małoletnią, oraz jego rozpowszechnianie w internecie. Istotą problemu — w ujęciu organu nadzorczego — nie jest samo użycie technologii AI, lecz wykorzystanie wizerunku konkretnej, możliwej do zidentyfikowania osoby.

Ochrona danych osobowych obejmuje bowiem nie tylko imię, nazwisko czy numer identyfikacyjny, ale również informacje pozwalające zidentyfikować osobę pośrednio. W przypadku ucznia nabiera to znaczenia zwłaszcza wtedy, gdy treść zostaje powiązana z jego wizerunkiem i rozpowszechniona w środowisku rówieśniczym lub w mediach społecznościowych.

Zgodnie z art. 4 pkt 1 Rozporządzenia 2016/679 (RODO):

„dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”).

Dla szkoły to ważne rozróżnienie: wizerunek ucznia może być daną osobową, jeżeli pozwala na jego identyfikację. Nie traci tego charakteru tylko dlatego, że pierwotne zdjęcie było wcześniej dostępne w internecie albo pochodziło z materiałów ogólnodostępnych.

Przerobienie zdjęcia może być przetwarzaniem danych

Jednym z filarów stanowiska UODO jest odrzucenie argumentu, że przerobienie zdjęcia osoby małoletniej nie stanowi przetwarzania danych osobowych. W komunikacie z 1 grudnia 2025 r. przywołano fragment pisma Prezesa UODO do Prokuratora Generalnego, zgodnie z którym przerobienie wizerunku osoby małoletniej jest operacją przetwarzania danych osobowych, a wizerunek do takich danych należy.

Stanowisko to organ nadzorczy wywodzi z szerokiej, ustawowej definicji przetwarzania. Nie sprowadza się ono wyłącznie do zebrania danych w formularzu, prowadzenia dziennika elektronicznego czy przechowywania dokumentacji — obejmuje znacznie szerszy katalog operacji, w tym modyfikowanie, rozpowszechnianie i udostępnianie danych.

Zgodnie z art. 4 pkt 2 Rozporządzenia 2016/679 (RODO):

„przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak (…) adaptowanie lub modyfikowanie (…) rozpowszechnianie lub innego rodzaju udostępnianie (…).

W sprawach dotyczących uczniów ma to szczególne znaczenie. Jeżeli ktoś pobiera zdjęcie, modyfikuje je za pomocą aplikacji, a następnie udostępnia innym, to — w ocenie UODO — nie mamy do czynienia wyłącznie z „żartem” czy incydentem obyczajowym, lecz potencjalnie z nieuprawnioną operacją na danych osobowych. Trzeba jednak pamiętać, że kwalifikacja taka nie jest w tej sprawie przesądzona — prokuratura ocenia ją odmiennie.

Art. 107 Ustawy o ochronie danych osobowych w tle sprawy

W zażaleniu skierowanym do sądu Prezes UODO zarzucił organom ścigania przede wszystkim błędną interpretację art. 107 Ustawy o ochronie danych osobowych — przepisu penalizującego przetwarzanie danych osobowych bez podstawy prawnej.

Zgodnie z art. 107 ust. 1 Ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych:

Kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch.

Przypomnijmy, że wcześniej organy ścigania uznały, iż czyn nie wyczerpuje znamion czynu zabronionego — m.in. z tego właśnie przepisu. UODO zakwestionował tę ocenę: według Prezesa Urzędu istotne jest, że fotografia dotyczyła konkretnej, możliwej do zidentyfikowania osoby, a sprawcy nie byli uprawnieni do wykorzystania jej wizerunku, jego zmodyfikowania ani dalszego udostępniania.

Ogólnodostępność zdjęcia nie przesądza — zdaniem UODO — o legalności działania

Kolejnym elementem stanowiska organu nadzorczego jest odrzucenie argumentu, że wizerunek nie pochodził z „chronionego zbioru danych osobowych”, lecz z materiałów ogólnodostępnych. Prezes UODO wskazał, że z punktu widzenia przepisów o ochronie danych osobowych rozstrzygające jest to, czy chodzi o informację o osobie zidentyfikowanej lub możliwej do zidentyfikowania — a nie źródło jej pozyskania.

Dla dyrektorów szkół i nauczycieli płynie z tego czytelny sygnał: fakt, że uczeń opublikował zdjęcie w internecie albo że było ono dostępne dla innych, nie oznacza — w ocenie UODO — dowolności jego dalszego wykorzystania. Nie chodzi tu o zwykłe korzystanie z technologii cyfrowych, lecz o sytuację, w której dane osobowe osoby małoletniej zostają użyte w sposób naruszający jej prywatność, godność i bezpieczeństwo. W jednym z wcześniejszych komunikatów Prezes UODO ocenił, że wykorzystanie wizerunku dziewczyny drastycznie naruszyło jej prywatność i zagroziło naruszeniem jej elementarnych interesów życiowych w przyszłości.

Znaczenie sprawy dla szkół i nauczycieli

Komunikaty UODO nie tworzą nowej szkolnej procedury i nie zastępują przepisów dotyczących bezpieczeństwa uczniów, reagowania na przemoc rówieśniczą czy ochrony małoletnich. Pokazują natomiast, że zdarzenia związane z deepfake’ami i przerabianiem zdjęć uczniów powinny być oceniane również przez pryzmat ochrony danych osobowych — obok kwalifikacji karnej i wychowawczej.

Dla szkoły oznacza to konieczność uważnego kwalifikowania takich zdarzeń. Nie każde naruszenie relacji rówieśniczych będzie sprawą z zakresu ochrony danych, ale tam, gdzie dochodzi do wykorzystania wizerunku ucznia, jego modyfikowania, publikowania lub dalszego udostępniania, wątek danych osobowych staje się istotny — szczególnie gdy chodzi o osobę małoletnią i treści o charakterze intymnym albo upokarzającym.

Dlaczego UODO akcentuje potrzebę ustalenia sprawców

W czerwcowym zażaleniu Prezes UODO zwrócił uwagę, że prokuratura nie podjęła działań zmierzających do ustalenia tożsamości sprawców. To element szczególnie ważny w sprawach cyfrowych, ponieważ samo usunięcie treści lub uznanie, że nie doszło do szkody majątkowej, nie wyczerpuje problemu. Organ nadzorczy nie zgodził się przy tym z tezą, że opublikowanie takiego zdjęcia było jedynie formą nastoletniego żartu — wskazał, że doszło do wyrządzenia krzywdy, będącej rodzajem szkody.

Wcześniejsze stanowisko UODO akcentowało konieczność kompleksowego zbadania okoliczności zdarzenia i zapewnienia skutecznej ochrony praw osoby, której dane dotyczą. W przypadku uczniów chodzi nie tylko o reakcję na konkretny incydent, ale także o jasny sygnał, że wykorzystanie wizerunku dziecka do wygenerowania treści intymnych nie może być traktowane jako neutralny technologicznie eksperyment.

Ochrona danych osobowych jako część cyfrowego bezpieczeństwa uczniów

Opisywana sprawa dobrze pokazuje, że edukacja o prywatności, wizerunku i danych osobowych powinna iść w parze z rozmową o cyberprzemocy, sztucznej inteligencji i odpowiedzialności za treści publikowane w internecie. Uczeń powinien rozumieć, że zdjęcie koleżanki lub kolegi nie jest materiałem, którym można dowolnie manipulować.

Dla nauczycieli i dyrektorów najważniejszy wniosek jest prosty: deepfake z udziałem ucznia może być nie tylko problemem wychowawczym, ale także naruszeniem prywatności i — w ocenie organu nadzorczego — nieuprawnionym przetwarzaniem danych osobowych. Jeżeli zdarzenie dotyczy osoby małoletniej, wymaga szczególnie ostrożnej, udokumentowanej i adekwatnej reakcji.

Trzeba jednocześnie pamiętać, że sprawa opisana w komunikatach UODO nie jest jeszcze sądowym rozstrzygnięciem odpowiedzialności konkretnych osób, a przedstawiona wykładnia pozostaje sporna. Jest natomiast ważnym głosem organu nadzorczego, który przypomina, że ochrona wizerunku dziecka w środowisku cyfrowym nie powinna być zawężana wyłącznie do klasycznych wycieków danych czy dokumentów — sam wizerunek ucznia, jego modyfikacja i rozpowszechnianie również mogą mieścić się w obszarze ochrony danych osobowych.