Deepfake z udziałem uczennicy i dane osobowe. UODO kwestionuje umorzenie sprawy

Sprawa wygenerowania przy użyciu sztucznej inteligencji nagiego wizerunku uczennicy pokazuje, że szkolne problemy związane z cyberprzemocą coraz częściej dotykają nie tylko wychowania i bezpieczeństwa, lecz także ochrony danych osobowych. Prezes Urzędu Ochrony Danych Osobowych ponownie zakwestionował umorzenie śledztwa, wskazując na błędną interpretację art. 107 ustawy o ochronie danych osobowych oraz brak działań zmierzających do ustalenia tożsamości sprawców.

Wizerunek uczennicy jako dane osobowe

W komunikatach UODO sprawa została opisana jako wykorzystanie narzędzi opartych na sztucznej inteligencji do stworzenia obrazu o charakterze intymnym, przedstawiającego osobę małoletnią, oraz jego rozpowszechniania w Internecie. Istotą problemu nie jest więc wyłącznie samo użycie technologii AI, ale wykorzystanie wizerunku konkretnej osoby, możliwej do zidentyfikowania.

Zgodnie z RODO ochrona danych osobowych obejmuje nie tylko imię, nazwisko czy numer identyfikacyjny. Może dotyczyć również informacji pozwalających pośrednio zidentyfikować osobę. W przypadku ucznia szczególnego znaczenia nabiera to wtedy, gdy treść została połączona z wizerunkiem i rozpowszechniona w środowisku rówieśniczym lub w mediach społecznościowych.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, art. 4 pkt 1:

„dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej

Dla szkoły to ważne rozróżnienie: wizerunek ucznia może być daną osobową, jeżeli pozwala na jego identyfikację. Nie traci tego charakteru tylko dlatego, że pierwotne zdjęcie było wcześniej dostępne w Internecie albo pochodziło z materiałów ogólnodostępnych.

Przerobienie zdjęcia może być przetwarzaniem danych

UODO wprost nie zgodził się z argumentem, że przerobienie zdjęcia osoby małoletniej nie stanowi przetwarzania danych osobowych. W komunikacie z 1 grudnia 2025 r. przywołano stanowisko Prezesa UODO, zgodnie z którym przerobienie wizerunku osoby małoletniej jest operacją przetwarzania danych osobowych, a wizerunek do takich danych należy.

To stanowisko jest spójne z definicją przetwarzania zawartą w RODO. Przetwarzaniem nie jest wyłącznie zebranie danych w formularzu, prowadzenie dziennika elektronicznego czy przechowywanie dokumentacji. RODO obejmuje znacznie szerszy katalog operacji, także takich jak modyfikowanie, rozpowszechnianie lub udostępnianie danych.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, art. 4 pkt 2:

„przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych

W sprawach dotyczących uczniów ma to szczególne znaczenie. Jeżeli ktoś pobiera zdjęcie, modyfikuje je za pomocą aplikacji, a następnie udostępnia innym osobom, nie mamy do czynienia wyłącznie z „żartem” albo incydentem obyczajowym. Może to być również nieuprawniona operacja na danych osobowych.

Art. 107 ustawy o ochronie danych osobowych w tle sprawy

W komunikacie z 11 czerwca 2026 r. UODO wskazał, że Prezes Urzędu zaskarża umorzenie śledztwa i zarzuca organom ścigania przede wszystkim błędną interpretację art. 107 ustawy o ochronie danych osobowych. Przepis ten dotyczy nielegalnego przetwarzania danych osobowych.

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 107 ust. 1:

Kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch.

Wcześniej organy ścigania uznawały, że czyn nie zawiera znamion czynu zabronionego m.in. z art. 107 ust. 1 ustawy o ochronie danych osobowych. UODO zakwestionował tę ocenę. Według Prezesa UODO znaczenie ma to, że fotografia dotyczyła konkretnej, możliwej do zidentyfikowania osoby, a sprawcy nie byli uprawnieni do wykorzystania jej wizerunku, jego zmodyfikowania i dalszego udostępniania.

Sama ogólnodostępność zdjęcia nie przesądza o legalności działania

Jednym z ważnych elementów stanowiska UODO jest odrzucenie argumentu, że zdjęcie nie było pozyskane z chronionego zbioru danych osobowych, lecz z materiałów ogólnodostępnych. Prezes UODO wskazał, że z punktu widzenia przepisów o ochronie danych osobowych istotne jest to, czy mamy do czynienia z informacją o osobie zidentyfikowanej lub możliwej do zidentyfikowania.

Dla dyrektorów szkół i nauczycieli to czytelny sygnał: fakt, że uczeń opublikował zdjęcie w Internecie albo że zdjęcie było dostępne dla innych osób, nie oznacza dowolności jego dalszego wykorzystania. Zwłaszcza gdy dochodzi do przerobienia zdjęcia, nadania mu intymnego charakteru i rozpowszechnienia wśród innych osób.

Nie chodzi tu o zwykłe korzystanie z technologii cyfrowych, lecz o sytuację, w której dane osobowe osoby małoletniej zostają użyte w sposób naruszający jej prywatność, godność i bezpieczeństwo. UODO w swoim wcześniejszym komunikacie wskazywał, że wykorzystanie wizerunku młodej dziewczyny drastycznie naruszyło jej prywatność oraz zagroziło naruszeniem jej elementarnych interesów życiowych w przyszłości.

Znaczenie sprawy dla szkół i nauczycieli

Komunikat UODO nie tworzy nowej szkolnej procedury i nie zastępuje przepisów dotyczących bezpieczeństwa uczniów, reagowania na przemoc rówieśniczą czy ochrony małoletnich. Pokazuje jednak, że zdarzenia związane z deepfake’ami, przerabianiem zdjęć uczniów i rozpowszechnianiem ich w Internecie powinny być oceniane również przez pryzmat ochrony danych osobowych.

Dla szkoły oznacza to konieczność uważnego kwalifikowania takich zdarzeń. Nie każde naruszenie relacji rówieśniczych będzie sprawą z zakresu ochrony danych, ale tam, gdzie dochodzi do wykorzystania wizerunku ucznia, jego modyfikowania, publikowania lub dalszego udostępniania, temat danych osobowych staje się istotny. Szczególnie wtedy, gdy chodzi o osobę małoletnią i treści o charakterze intymnym albo upokarzającym.

Dlaczego UODO akcentuje potrzebę ustalenia sprawców

W komunikacie z 11 czerwca 2026 r. Prezes UODO zwrócił uwagę, że prokuratura nie podjęła działań zmierzających do ustalenia tożsamości sprawców. To element szczególnie ważny w sprawach cyfrowych, ponieważ samo usunięcie treści lub uznanie, że nie doszło do szkody majątkowej, nie wyczerpuje problemu.

Wcześniejsze stanowisko UODO wskazywało, że postępowanie powinno kompleksowo zbadać okoliczności zdarzenia i zapewnić skuteczną ochronę praw osoby, której dane dotyczą. W przypadku uczniów chodzi nie tylko o reakcję na konkretny incydent, ale także o jasny sygnał, że wykorzystanie wizerunku dziecka do wygenerowania treści intymnych nie może być traktowane jako neutralny technologicznie eksperyment.

Ochrona danych osobowych jako część bezpieczeństwa cyfrowego uczniów

Sprawa opisana przez UODO dobrze pokazuje, że edukacja o prywatności, wizerunku i danych osobowych powinna być łączona z rozmową o cyberprzemocy, sztucznej inteligencji i odpowiedzialności za treści publikowane w Internecie. Uczeń powinien rozumieć, że zdjęcie koleżanki lub kolegi nie jest materiałem, którym można dowolnie manipulować.

Dla nauczycieli i dyrektorów najważniejszy wniosek jest prosty: deepfake z udziałem ucznia może być nie tylko problemem wychowawczym, ale także naruszeniem prywatności i nieuprawnionym przetwarzaniem danych osobowych. Jeżeli zdarzenie dotyczy osoby małoletniej, wymaga szczególnie ostrożnej, udokumentowanej i adekwatnej reakcji.

Sprawa z komunikatu UODO nie jest jeszcze sądowym rozstrzygnięciem odpowiedzialności konkretnych osób. Jest natomiast ważnym głosem organu nadzorczego, który przypomina, że ochrona wizerunku dziecka w środowisku cyfrowym nie może być zawężana wyłącznie do klasycznych wycieków danych lub dokumentów. Wizerunek ucznia, jego modyfikacja i rozpowszechnianie również mogą mieścić się w obszarze ochrony danych osobowych.