RODO a zdjęcia przetwarzane przez AI
RODO chroni dane osobowe, a zdjęcie twarzy to dane — często biometryczne. Wyjaśniamy podstawy przetwarzania, prawa osób i obowiązki narzędzi AI przetwarzających wizerunek.
Czym jest RODO i dlaczego dotyczy zdjęć
RODO to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 o ochronie danych osobowych, stosowane od 25 maja 2018 r. we wszystkich państwach UE. Zdjęcie przedstawiające rozpoznawalną osobę jest daną osobową, a gdy służy do identyfikacji — daną biometryczną szczególnej kategorii. Przetwarzanie wymaga podstawy prawnej, a osoba ma prawa z art. 15–22.
| Parametr | Wartość · źródło (data dostępu) |
|---|---|
| Akt prawny | Rozporządzenie (UE) 2016/679 z 27.04.2016 · EUR-Lex |
| Stosowane od | 25 maja 2018 r. (art. 99 ust. 2) · EUR-Lex |
| Ustawa krajowa | ustawa z 10.05.2018 o ochronie danych osobowych, Dz.U. 2018 poz. 1000 · ISAP |
| Organ nadzorczy w Polsce | Prezes Urzędu Ochrony Danych Osobowych (UODO) · uodo.gov.pl |
| Kluczowe przepisy | art. 4 pkt 14, art. 6, art. 9, art. 15–22, art. 77, art. 83 · EUR-Lex |
| Kary administracyjne | do 20 mln EUR lub 4% rocznego obrotu (art. 83 ust. 5) · EUR-Lex |
| Organ unijny | Europejska Rada Ochrony Danych (EROD) · edpb.europa.eu |
Stan na 08.09.2026. Wpis ma charakter informacyjny — to nie jest porada prawna.
Akt
Rozporządzenie (UE) 2016/679 — stosowane bezpośrednio, bez potrzeby transpozycji; polska ustawa z 2018 r. reguluje tylko kwestie organizacyjne.
Artykuł
Art. 6 i 9 — podstawy przetwarzania i szczególne kategorie danych; art. 15–22 — prawa osób; art. 77 — skarga.
Organ
Prezes UODO — nadzór, skargi, kary; współpraca w ramach EROD przy sprawach transgranicznych.
Sankcja
Do 20 mln EUR lub 4% obrotu za naruszenie zasad i praw osób; do 10 mln EUR lub 2% za obowiązki organizacyjne.
Data wejścia w życie
24 maja 2016 r. — wejście w życie; 25 maja 2018 r. — początek stosowania.
Zdjęcie jako dane osobowe i dane biometryczne
Daną osobową jest każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie (art. 4 pkt 1). Fotografia z rozpoznawalną twarzą spełnia tę definicję zawsze, niezależnie od tego, czy opisano ją imieniem. Wgranie takiego pliku do serwisu w chmurze to już „przetwarzanie” — zbieranie, przechowywanie, modyfikowanie i usuwanie (art. 4 pkt 2).
Dane biometryczne (art. 4 pkt 14) powstają, gdy zdjęcie jest przetwarzane technicznie w celu jednoznacznej identyfikacji — na przykład przez wykrywanie i porównywanie twarzy. Zgodnie z motywem 51 same fotografie nie są automatycznie biometryczne, ale narzędzia analizujące geometrię twarzy wchodzą w zakres art. 9, gdzie przetwarzanie jest co do zasady zakazane.
Aplikacje z kategorii nudify lub zamiany twarzy zwykle wykrywają sylwetkę i twarz, a więc przetwarzają dane szczególnej kategorii. Wyjątek z art. 9 ust. 2 lit. a wymaga wyraźnej zgody osoby przedstawionej — nie użytkownika, który wgrał plik.
Podstawy przetwarzania: zgoda i uzasadniony interes
Art. 6 ust. 1 wymienia sześć podstaw, z których dla zdjęć prywatnych istotne są dwie: zgoda (lit. a) i prawnie uzasadniony interes (lit. f). Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna, a jej wycofanie tak łatwe jak udzielenie (art. 7). Szczegóły omawia hasło zgoda na wykorzystanie wizerunku.
Uzasadniony interes nie może służyć do przerabiania zdjęć osób trzecich — test równowagi z art. 6 ust. 1 lit. f przegrywa z interesem osoby, której intymność zostaje naruszona. Dla przetwarzania własnego zdjęcia przez użytkownika podstawa jest oczywista, ale dostawca narzędzia nadal odpowiada za bezpieczeństwo, retencję i przekazywanie danych poza EOG (rozdział V).
W praktyce więc narzędzie undress AI działa zgodnie z RODO tylko wtedy, gdy przetwarza zdjęcia użytkownika lub dorosłych, którzy wyraźnie się zgodzili, informuje o celu i czasie przechowywania oraz umożliwia usunięcie plików. To właśnie te elementy sprawdzamy w kryterium prywatności (waga 30%) w metodyce ocen.
Prawa osoby z art. 15–22 RODO wobec narzędzi AI
- Art. 15 — dostęp: możesz zapytać, czy serwis przetwarza Twoje zdjęcia i uzyskać ich kopię.
- Art. 17 — usunięcie: „prawo do bycia zapomnianym” obejmuje także dane opublikowane bez podstawy prawnej.
- Art. 18 i 21 — ograniczenie i sprzeciw: zatrzymanie przetwarzania na czas sporu.
- Art. 22 — decyzje zautomatyzowane: prawo do interwencji człowieka przy automatycznej moderacji.
Administrator odpowiada bez zbędnej zwłoki, najpóźniej w miesiąc, z możliwością przedłużenia o dwa miesiące w sprawach złożonych (art. 12 ust. 3). Jeśli nie odpowiada lub odmawia, przysługuje skarga do organu nadzorczego (art. 77) oraz droga sądowa (art. 79). Nasze własne procedury opisuje strona wniosek RODO.
RODO wobec deepfake: co mówi UODO
Prezes UODO w stanowisku z 29 stycznia 2026 r. wskazał, że obowiązujące przepisy krajowe nie zapewniają pełnej ochrony przed deepfake i zaapelował o rozwiązania systemowe. RODO pozostaje jednak najskuteczniejszym narzędziem wobec dostawców: nakazuje im wykazać podstawę prawną i pozwala nałożyć karę, gdy jej brak. Więcej w haśle UODO.
Osoba, której wizerunek przerobiono, może równolegle skorzystać z prawa do wizerunku, ochrony dóbr osobistych i — przy nagości — z art. 191a KK. To nie jest porada prawna; w indywidualnej sprawie warto skonsultować się z prawnikiem lub złożyć skargę do UODO.
Powiązane narzędzia, które recenzujemy
W recenzjach analizujemy politykę prywatności, czas przechowywania zdjęć, lokalizację serwerów i sposób realizacji praw z art. 15–22. Poniżej recenzje z najbardziej rozbudowaną sekcją prywatności.
- Ainudez — recenzja z oceną retencji danych i procedury usuwania.
- Ainudez — analiza prywatności — osobna analiza retencji, płatności i usuwania danych.
- Prywatność w narzędziach undress AI — na co patrzymy w teście prywatności.
Źródła
Wpis opiera się na tekstach aktów prawnych i stronach organów publicznych; daty dostępu podano przy każdym źródle. Redakcja nie udziela porad prawnych — w indywidualnej sprawie skontaktuj się z prawnikiem.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), EUR-Lex — dostęp 08.09.2026.
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000), ISAP — dostęp 08.09.2026.
- Urząd Ochrony Danych Osobowych — strona główna, skargi i poradniki — dostęp 08.09.2026.
- UODO — stanowisko Prezesa UODO w sprawie ochrony przed deepfake (29.01.2026) — dostęp 08.09.2026.
- Europejska Rada Ochrony Danych (EDPB/EROD) — wytyczne i opinie — dostęp 08.09.2026.
- Kodeks cywilny, art. 23–24 — dobra osobiste (Dz.U. 1964 nr 16 poz. 93), ISAP — dostęp 08.09.2026.
Najczęstsze pytania
Krótkie odpowiedzi redakcji; szczegóły — w źródłach powyżej.
Czy zdjęcie twarzy to dane biometryczne w rozumieniu RODO?
Samo zdjęcie jest daną osobową. Daną biometryczną staje się, gdy podlega specjalnemu przetwarzaniu technicznemu w celu identyfikacji — np. wykrywaniu i porównywaniu twarzy. Wtedy stosuje się art. 9 i zakaz przetwarzania bez wyraźnej zgody.
Czy mogę wgrać do narzędzia AI zdjęcie znajomej osoby?
Nie bez jej wyraźnej zgody. Użytkownik nie może udzielić zgody za kogoś innego, a uzasadniony interes nie obejmuje przerabiania intymnych obrazów. Takie działanie narusza RODO, dobra osobiste, a przy nagości może być przestępstwem z art. 191a KK.
Jak długo serwis może przechowywać wgrane zdjęcia?
Tylko tak długo, jak to niezbędne do celu (art. 5 ust. 1 lit. e). Dobre praktyki to usuwanie plików w ciągu godzin lub dni oraz jasna informacja w polityce prywatności. Brak deklarowanego okresu retencji obniża ocenę prywatności w naszych testach.
Do kogo złożyć skargę na naruszenie RODO przez narzędzie AI?
Do Prezesa UODO, jeśli mieszkasz w Polsce (art. 77 RODO), niezależnie od siedziby dostawcy. Skargę składa się pisemnie lub elektronicznie; w sprawach transgranicznych UODO współpracuje z organem państwa siedziby dostawcy.
Jakie kary grożą za naruszenie RODO?
Kary administracyjne sięgają 20 mln EUR lub 4% rocznego światowego obrotu za naruszenie zasad przetwarzania i praw osób oraz 10 mln EUR lub 2% za obowiązki organizacyjne. Niezależnie od tego osoba może dochodzić odszkodowania z art. 82.
Czy RODO chroni przed deepfake?
Częściowo. Pozwala żądać usunięcia danych i karać dostawców bez podstawy prawnej, ale nie penalizuje samego tworzenia obrazu. Prezes UODO w 2026 r. wskazał tę lukę; uzupełnieniem są art. 191a KK, dobra osobiste i dyrektywa 2024/1385.