Globoki ponaredki kot osebni podatki
+ -Številka: 092-4/2024/11
Kategorije: Biometrija, Definicija OP, Moderne tehnologije, Svetovni splet, Umetna indeligenca
Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da za namen izdelave diplomske naloge raziskujete področje globokih ponaredkov pri tehnologiji pristopne kontrole na mobilnih napravah. Zanima vas naslednje:
1. Ali je mnenje 07121-1/2020/1635 z dne 17. 9. 2020 kljub sprejemu ZVOP-2 še veljavno?
2. Ali je shranjevanje fotografij in videoposnetkov, ki so objavljeni na socialnih omrežjih obdelava osebnih podatkov. V zvezi s tem se sklicujete na naše mnenje št. 07121-1/2020/1628 z dne 16. 9. 2020.
3. Ali se globoki ponaredki ustvarjeni na podlagi fotografij tretje osebe štejejo kot osebni podatki te tretje osebe, glede na to, da so ustvarjeni z umetno inteligenco?
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.
1. Mnenji št. 07121-1/2020/1635 in št. 07121-1/2020/1628 kljub sprejemu ZVOP-2 ostajata aktualni in veljavni.
2. Pri presoji vprašanja, ali globoki ponaredek vsebuje osebne podatke fizične osebe, na podlagi katere je bil ustvarjen, IP zavzema stališče, da v kolikor je posameznik na globokem ponaredku dovolj podoben določeni (pravi) fizični osebi, na podlagi katere je bil globoki ponaredek ustvarjen, se takšna fotografija (t.i. globok ponaredek oz. ang. deep fake) mora razumeti kot osebni podatek izvorne fizične osebe, na podlagi katere je bil globoki ponaredek ustvarjen.
3. V primeru dvoma, zlasti pa v primeru, ko je iz globokega ponaredka možno posredno (tudi če s pomočjo drugih podatkov, ki so upravljavcu na voljo) ugotoviti izvornega določenega ali določljivega posameznika, se takšne globoke ponaredke mora razumeti kot osebne podatke tistih posameznikov, na podlagi katerih so bili globoki ponaredki ustvarjeni.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
Glede veljavnosti mnenja št. 07121-1/2020/1635 z dne 17. 9. 2020 potrjujemo, da je mnenje kljub sprejemu ZVOP-2 še vedno aktualno in veljavno. Kljub temu velja opozoriti na nekatere nove določbe ZVOP-2 (glej tretje poglavje ZVOP-2 - videonadzor), kjer po novem pravnem okviru, poleg že prej reguliranega videonadzora dostopa v uradne službene oziroma poslovne prostore (77. člen ZVOP-2) in znotraj delovnih prostorov (78. člen ZVOP-2), sedaj specialno še reguliran videonadzor javnega potniškega prometa (79. člen ZVOP-2) in javnih površin (80. člen ZVOP-2) .
Glede veljavnosti mnenja št. 07121-1/2020/1628 z dne 16. 9. 2020 o shranjevanju fotografij in videoposnetkov, ki so objavljeni na socialnih omrežjih potrjujemo, da je tudi to mnenje kljub sprejemu ZVOP-2 še vedno aktualno in veljavno. Skladno z drugo točko 4. člena Splošne uredbe pomeni »obdelava« vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenj. Osebni podatki pa so glede na prvo točko istega člena katere koli informacije v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
Kljub temu velja poudariti, da se glede na drugi odstavek 2. člena Splošne uredbe, pravila varstva osebnih podatkov ne uporabljajo, če se osebni podatki obdelujejo s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti.
V kolikor torej ne gre za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti, ter so iz fotografij in videoposnetkov razvidni posamezniki, ki so določeni ali določljivi, gre vsekakor pri shranjevanju fotografij in videoposnetkov iz socialnih omrežij za obdelavo osebnih podatkov, kot jo opredeljuje Splošna uredba.
Glede vprašanja, ali se globoki ponaredki ustvarjeni na podlagi fotografij tretje osebe štejejo kot osebni podatki te tretje osebe, pojasnjujemo, da gre pri osebnih podatkih za katerikoli podatke, ki se nanašajo na točno določeno ali vsaj določljivo osebo, ne glede na obliko, v kateri so ti izraženi. Kot smo navedli tudi v smernicah glede biometrije po ZVOP-2 (glej str. 10, vprašanje št. 8): »velja za biometrične značilnosti kot take, tudi za digitalen zapis teh značilnosti, ki so sestavljeni na podlagi unikatnih značilnosti, ne glede na to, kolikokrat in kako je ta zapis kasneje spremenjen. Ne glede na obliko, način zapisa ali drugo spremembo, ostane vedno tista edinstvena vez z osebo, četudi se morebiti količina podrobnosti v postopku transformacije zmanjšuje.«
Po določbi 14. točke 4. člena Splošne uredbe izraz »biometrični podatki“ pomeni osebne podatke, ki so rezultat posebne tehnične obdelave v zvezi s fizičnimi, fiziološkimi ali vedenjskimi značilnostmi posameznika, ki omogočajo ali potrjujejo edinstveno identifikacijo tega posameznika, kot so podobe obraza ali daktiloskopski podatki.
V kolikor je torej posameznik na globokem ponaredku dovolj podoben določeni (pravi) fizični osebi, na podlagi katere je bil globoki ponaredek ustvarjen, se takšna fotografija (t.i. globok ponaredek oz. ang. deep fake) mora razumeti kot osebni podatek izvorne fizične osebe, na podlagi katere je bil globoki ponaredek ustvarjen. Razmerje, ko pa se količina podobnosti v postopku transformacije (iz fotografije prave osebe v novo nastali globoki ponaredek) tako močno spremeni, da nova ustvarjena fotografija oz. videoposnetek, ne vodi več do prepoznave prvotne fizične osebe, pa je treba tehtati v vsakem konkretnem nadzornem postopku, kajti to razmerje je vedno odvisno od konkretnih okoliščin posameznega primera (npr. ali je možno kljub neprepoznavnosti s prvotnim posameznikom, s pomočjo posrednih podatkov – npr. metapodatkov - ugotoviti izvornega posameznika).
V primeru dvoma, zlasti pa v primeru, ko je iz globokega ponaredka možno posredno (tudi če s pomočjo drugih podatkov, ki so upravljavcu na voljo) ugotoviti izvornega določenega ali določljivega posameznika, se takšne globoke ponaredke mora razumeti kot osebne podatke tistih posameznikov, na podlagi katerih so bili globoki ponaredki ustvarjeni.
V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.
Pripravil:
Grega Rudolf, mag.
svetovalec za mednarodne odnose
dr. Jelena Virant Burnik
informacijska pooblaščenka