Prezes UODO wydaje postanowienie w sprawie deepfake wobec współadministratora

Prezes UODO zareagował na skargę jednego z obywateli, co do wykorzystywania jego danych osobowych, w tym wizerunku do tworzenia nieprawdziwych reklam oraz ich publikowania w mediach społecznościowych.

Obywatel ten wielokrotnie składał skargi do operatora mediów społecznościowych, który nie chciał zablokować reklamy/nie ma takich technicznych możliwości/nie uważa, aby taka reklama była niezgodna z prawem, nie podjął skutecznych działań.

W związku z powyższym organ nadzorczy zgodnie z procedurą przewidzianą w art. 66 ust. 1 RODO:

W wyjątkowych okolicznościach, jeżeli organ nadzorczy, którego sprawa dotyczy, uzna, że istnieje pilna potrzeba podjęcia działań w celu ochrony praw i wolności osób, których dane dotyczą, może w drodze odstępstwa od mechanizmu spójności, o którym mowa w art. 63, 64 i 65, lub od procedury, o której mowa w art. 60, niezwłocznie przyjąć środki tymczasowe mające na terytorium jego państwa członkowskiego wywołać skutki prawne przez określony okres, nieprzekraczający trzech miesięcy. Organ nadzorczy niezwłocznie informuje o tych środkach i o powodach ich przyjęcia pozostałe organy nadzorcze, których sprawa dotyczy, Europejską Radę Ochrony Danych i Komisję.

oraz w art. 70 ust. 1 ustawy o ochronie danych osobowych:

Jeżeli w toku postępowania zostanie uprawdopodobnione, że przetwarzanie danych osobowych narusza przepisy o ochronie danych osobowych, a dalsze ich przetwarzanie może spowodować poważne i trudne do usunięcia skutki, Prezes Urzędu, w celu zapobieżenia tym skutkom, może, w drodze postanowienia, zobowiązać podmiot, któremu jest zarzucane naruszenie przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych, wskazując dopuszczalny zakres tego przetwarzania.

W omawianym postanowieniu Prezes UODO uznał, że spełniły się wszystkie warunki przedstawione w powyższych przepisach, co skutkuje zobowiązaniem:

M. do ograniczenia przetwarzania danych osobowych Pana J.C. zam. w W., poprzez zakazanie ich udostępniania na rzecz innych podmiotów w reklamach wyświetlanych na portalach społecznościowych: F., dostępnym pod adresem internetowym […] oraz I., dostępnym pod adresem internetowym […], na terytorium Rzeczypospolitej Polskiej przez okres trzech miesięcy od dnia doręczenia niniejszego postanowienia M.

Organ nadzorczy argumentuje swoje postanowienie wskazując, że:

W kwestionowanych reklamach wyświetlanych przez Spółkę na portalu społecznościowym F. udostępniane są bowiem dane osobowe Skarżącego w zakresie jego imienia, nazwiska i wizerunku oraz nieprawdziwych informacji na jego temat, z których wynika jakoby proponował on odbiorcom reklam inwestycje gwarantujące pomnożenie ich majątku i pewny szybki wysoki zysk oraz niezależność finansową, mogące się ziścić dzięki obejrzeniu reklam do końca i postąpieniu zgodnie z podanymi w nich wytycznymi.

W kwestionowanych reklamach wyświetlanych przez Spółkę w reklamach na portalu społecznościowym F. Skarżący jest bowiem osobą zidentyfikowaną z imienia i nazwiska. Ponadto reklamy wskazują na osiągnięcia Skarżącego i prowadzoną przez niego działalność gospodarczą, które dodatkowo umożliwiają jego zidentyfikowanie.

Powołane treści zawarte w reklamach są nieprawdziwe, godzą w opinię innych osób o Skarżącym, podrywają zaufanie do niego jako człowieka, przedsiębiorcy, względnie ww. skutki takie wywołują wobec tej osoby fizycznej. Zauważyć bowiem należy, że Skarżący, w szczególności z racji ww. działalności gospodarczej, a także charytatywnej, jest osobą publiczną, powszechnie znaną i rozpoznawalną.

Krajowy organ nadzorczy wskazał także, że:

pilny charakter środków tymczasowych należy oceniać w odniesieniu do potrzeby ochrony praw i wolności osób, których dane dotyczą. Negatywne skutki dla osób, których dane dotyczą, oraz ich podstawowych praw i wolności są w niniejszej sprawie bardzo znaczne.

Nadto organ uzasadnił skierowanie swojego postanowienia do operatora mediów społecznych, gdyż:

Spółka jest bowiem współadministratorem danych osobowych Skarżącego przetwarzanych w ww. sposób, w rozumieniu art. 26 RODO, stosownie do którego jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami, którzy w drodze wspólnych uzgodnień w przejrzysty sposób określają odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z niniejszego rozporządzenia.

Co więcej, jak wynika z ww. regulacji, cyt.: „(…) Reklamodawca tworzy reklamy do wyświetlania na F. i I. oraz w innych witrynach i aplikacjach mobilnych, a następnie przesyła je za pomocą naszych narzędzi zarządzania reklamami. Następnie F. wyświetla reklamę. Przy dobieraniu odpowiednich reklam do wyświetlenia uwzględniamy cel reklamodawcy, oczekiwaną grupę odbiorców i reklamę.

Warto też podkreślić, że decyzja ta obowiązuje od dnia doręczenia do spółki, która jest operatorem portali społecznościowych, a nie od dnia jej wydania jak wskazuje osoba, której ona dotyczy.