11.7 Polska i UE: wizerunek, RODO i dane osobowe

Rozdział 11.4 dał ci doktrynę. Ten rozdział daje ci tekst, który faktycznie obowiązuje, jeśli działasz z Polski albo sprzedajesz ludziom w UE — a to domyślne założenie tej książki, bo to reżim surowszy z dwóch i ten z najostrzejszymi środkami.

Wzorzec, który trzeba zauważyć przed szczegółami: w UE wizerunek i dane osobowe to prawa osobiste, a nie prawa majątkowe. Narzędziami są zgoda, obowiązki informacyjne i środki, które nie wymagają dowodu straty finansowej.

Nic z tego nie jest poradą prawną. To mapa tego, co przynieść prawnikowi, i lista rzeczy, które możesz wdrożyć sam w tym tygodniu.

Prawo do wizerunku w Polsce: dwie ustawy, jedno pytanie

Wykorzystanie czyjegoś wizerunku regulują dwa przepisy i oba mają zastosowanie do persony.

Art. 23 i 24 Kodeksu cywilnego chronią dobra osobiste, w tym wizerunek, nazwisko i prywatność. Art. 24 daje osobie, której dobro zostało naruszone, roszczenie o zaniechanie naruszenia, usunięcie jego skutków, a — gdy naruszenie było zawinione — odszkodowanie za szkodę majątkową i zapłatę za doznaną krzywdę. Istotna cecha proceduralna: powód nie musi udowadniać straty finansowej. Krzywda podlega zadośćuczynieniu sama w sobie.

Art. 81 ustawy o prawie autorskim i prawach pokrewnych to przepis szczególny. Rozpowszechnianie wizerunku wymaga zgody, z określonymi wyjątkami: osoby powszechnie znane, gdy wizerunek powstał w związku z pełnieniem przez nie funkcji publicznej, oraz osoby stanowiące jedynie szczegół całości, takiej jak zgromadzenie, krajobraz czy wydarzenie publiczne. Żaden z tych wyjątków nie obejmuje komercyjnego użycia twarzy jako podstawy postaci.

Wynikają z tego trzy praktyczne konsekwencje i właśnie na nich operatorzy się przewracają:

Zgoda musi być konkretna. Polskie orzecznictwo jest jednolite: zgoda na użycie wizerunku obejmuje cel, kontekst i formę, w jakich została udzielona. Zgoda na udział w sesji zdjęciowej nie jest zgodą na trenowanie modelu na tych zdjęciach. Zgoda na still nie jest zgodą na wideo i nie jest nią też zgoda na zmodyfikowaną wersję, która zmienia wrażenie, jakie osoba sprawia. Jeśli budujesz na realnej osobie, dokument zgody musi wymieniać trening, utwory zależne, generowanie syntetyczne, media, terytorium i czas.

Zgodę można wycofać i ciężar dowodu leży na tobie. Gdy osoba ją wycofa, dalsze użycie jest naruszeniem. Twoja zdolność wykazania, na co i kiedy udzielono zgody, to cała linia obrony. Ten dokument mieszka w rejestrze z 11.4.

Dobra osobiste po śmierci należą do rodziny. Dobra osobiste przeżywają śmierć w rękach osób bliskich, dlatego użycie wizerunku po śmierci to żywe ryzyko, a nie formalność.

Praktyczna reguła dla rekomendacji tej książki: zbuduj twarz z materiału wymyślonego, a pytanie znika. Struktura trzech tierów z 11.4 to nie teoria prawna. To różnica między personą bez dokumentów zgody a personą, której całe ryzyko prawne sprowadza się do regulaminu generatora obrazu.

RODO: co się zmienia, gdy persona rozmawia z ludźmi

RODO (GDPR) — rozporządzenie w kształcie, w jakim obowiązuje w Polsce, obok ustawy o ochronie danych osobowych z 10 maja 2018 r. — to reżim, który rządzi warstwą czatu, a to warstwa, w której biznes persony gromadzi najwięcej materiału podlegającego regulacjom. Fani ujawniają informacje o zdrowiu, preferencje seksualne, sytuację finansową i szczegóły relacji. To dane z pogranicza kategorii szczególnych, przekazywane dobrowolnie, a twoim zadaniem jest mieć podstawę, żeby je trzymać.

Czy twarz to dane osobowe? Tak. Zdjęcie osoby możliwej do zidentyfikowania to dane osobowe, a wygenerowana twarz też jest danymi osobowymi, jeśli wiąże się z osobą możliwą do zidentyfikowania — w tym z operatorem, gdy persona jest związana z twoją tożsamością, i z każdą realną osobą, do której jest podobna. Staje się danymi biometrycznymi w rozumieniu RODO tylko wtedy, gdy przetwarza się ją środkami technicznymi do celów jednoznacznej identyfikacji. Trenowanie modelu rozpoznawania na twarzach to przetwarzanie biometryczne i wymaga podstawy z art. 9. Trenowanie generatora do wytwarzania stylu — na ogół nie.

Czy rozmowy to dane osobowe? Tak, i to część, którą operatorzy zbyt słabo przemyślą. Każdy log rozmów to dane osobowe fana. Podobnie wywnioskowany profil zbudowany na ich podstawie: skłonność do wydawania, stan emocjonalny, preferencje tematyczne.

Twoja rola to administrator (RODO (GDPR): administrator danych). Decydujesz, po co i jak przetwarza się dane. Twój dostawca modelu (provider), dostawca hostingu i narzędzie analityczne to podmioty przetwarzające, a każdy potrzebuje umowy z art. 28 z klauzulami standardowymi oraz imiennej listy podprocesorów. Jeśli marka zatrudnia cię do prowadzenia persony, a relacja z fanami należy do niej, role mogą się odwrócić — rozstrzygnij to w umowie, na piśmie, przed pierwszą wiadomością.

Pięć obowiązków, które liczą się w praktyce:

Retencja, w roboczych liczbach. RODO nie ustala sztywnego okresu; wymaga, żebyś go zdefiniował i przestrzegał. Obronny punkt domyślny dla konta persony:

• Logi rozmów: 12–24 miesięcy od ostatniej interakcji, potem usunięcie albo pełna anonimizacja.
• Rekordy płatności i faktur: zgodnie z prawem podatkowym — w Polsce 5 lat od końca roku podatkowego, w którym powstał obowiązek. Księgowość wygrywa tu z prywatnością; te zostaw.
• Rekordy zgód i ujawnień: przez czas przetwarzania plus okres przedawnienia roszczeń. 5 lat to robocze minimum.
• Zgody marketingowe: do wycofania plus dowód wycofania.

Marketing do fanów wymaga własnej zgody. Polskie prawo komunikacji elektronicznej wymaga uprzedniej zgody na przesyłanie informacji handlowej środkami komunikacji elektronicznej do osoby fizycznej — to reguła, która zastąpiła art. 172 Prawa telekomunikacyjnego, gdy weszła w życie ustawa — Prawo komunikacji elektronicznej. [AS OF 2026-10] Obserwowanie persony przez fana nie jest zgodą na otrzymywanie informacji handlowej. Zdobądź zgodę, przechowuj dowód, a wycofanie zrób jednym kliknięciem.

Organ nadzorczy i kary. Organem jest UODO, a pułap to 20 mln EUR albo 4% całkowitego rocznego światowego obrotu — w zależności od tego, która kwota jest wyższa — w poważniejszym tierze. Dla solo operatora realne ryzyko to nie pułap: to skarga od jednego fana, postępowanie, które trwa rok, i obowiązek wykazania zgodności, którego nie wykazesz, bo nie prowadziłeś żadnych rejestrów.

Dwie rzeczy, które zaskakują operatorów

Ciężar dowodu niesie reklamodawca, nie model. W polskiej praktyce, gdy wizerunek pojawia się w komunikacji handlowej, podmiot, który go użył, musi wykazać, że zgoda istniała. Nie zdejmiesz z siebie tego ciężaru, wskazując na regulamin generatora obrazu ani na agencję talentów, która dostarczyła plik. Dokument musi istnieć, w twoich rejestrach, i wymieniać użycie.

RODO idzie za odbiorcami, nie za spółką. Jeśli prowadzisz personę spoza UE, ale oferujesz usługę ludziom w Unii albo monitorujesz ich zachowanie, RODO (GDPR) stosuje się do tego przetwarzania na podstawie przepisów o zakresie terytorialnym. [AS OF 2026-10] Operator zarejestrowany w USA, który prowadzi produkt czatowy dla europejskich fanów, jest w RODO, a praktyczne obowiązki — informacja, podstawa, retencja, prawa, umowy powierzenia — nie zmieniają się dlatego, że spółka jest gdzie indziej. To ta sama logika eksterytorialna co Article 50 w 11.1, tyle że od strony prywatności.

Co wdrożyć w tym tygodniu

1. Informację o prywatności, która wymienia cele, podstawy prawne, okresy retencji, podmioty przetwarzające i prawa, podlinkowaną przed pierwszą wiadomością w flow czatu.
2. Harmonogram retencji jako tabelę z wdrożeniem w każdym wierszu: który system usuwa co i kiedy.
3. Rejestr zgód dla każdego źródła wizerunku i każdej listy marketingowej.
4. Proces obsługi praw: jeden adres e-mail, szablon odpowiedzi i 30-dniowy termin, który faktycznie dowieziesz.
5. Umowy powierzenia przetwarzania z każdym dostawcą na ścieżce czatu oraz pisemną odpowiedź od każdego, czy trenuje na twoich danych i jak to wyłączyć.
6. Zarys DPIA, jeśli profilujesz użytkowników albo wnioskujesz o stanie emocjonalnym na skalę. Zacznij go, zanim zaczniesz skalować produkt czatowy.

Powracający motyw we wszystkich sześciu punktach: obroną jest dokumentacja tworzona na bieżąco, a nie rekonstrukcja po fakcie. To ten sam wniosek co w 11.4 i 11.5, osiągnięty z innego kierunku prawnego.

Gdzie to się psuje

Zakładanie, że publiczny profil to licencja. Art. 81 wymaga zgody. Widoczność nie jest zgodą.

Traktowanie jednej zgody jako obejmującej każde użycie. Zakres, cel i forma są częścią zgody. Trenowanie modelu to inne użycie niż publikacja zdjęcia.

Prowadzenie produktu czatowego bez informacji o prywatności i bez reguły retencji. To najczęstszy stan wczesnego biznesu persony i najłatwiejsze ustalenie dla organu nadzorczego.

Zakładanie, że dostawca modelu odpowiada za dane fanów. To twój podmiot przetwarzający. Ty jesteś administratorem, a informacja należy do ciebie.

Mieszanie relacji z podmiotem przetwarzającym z relacją z marką. Gdy marka płaci ci za prowadzenie swojej persony, role i własność danych fanów należą do umowy.

Trzymanie rejestru zgód razem z plikiem, który uzasadnia. Trzymaj jedno i drugie w rejestrze, poza narzędziem, które można wyłączyć.

Bramka

1. Która z twoich person ma realną osobę gdziekolwiek w swoim provenance — i gdzie jest dokument zgody?
2. Czy potrafisz pokazać w jednym pliku okres retencji dla każdej kategorii danych fanów, które trzymasz?
3. Kim są twoje podmioty przetwarzające i czy masz z każdym umowę z art. 28?
4. Gdzie fan znajdzie twoją informację o prywatności, zanim zacznie się rozmowa?
5. Gdyby fan zażądał dziś usunięcia danych, co dokładnie byś usunął i w ilu systemach?

Z czym wychodzisz

Dwie polskie ustawy, które regulują wizerunek, i to, co czyni zgodę wystarczającą; obowiązki RODO przypięte do warstwy czatu; harmonogram retencji w roboczych liczbach; reguła zgody marketingowej, którą większość operatorów pomija; i sześciopunktowa lista, którą wdrożysz bez prawnika. Rozdział 11.8 omawia drugą stronę tej samej monety: co jesteś winien konsumentom, gdy im sprzedajesz.