Początek sprawy sięga marca 2025 r. Wtedy Prezes UODO Mirosław Wróblewski zawiadomił Prokuraturę Rejonową Warszawa-Śródmieście o podejrzeniu popełnienia przestępstwa polegającego na przetwarzaniu danych osobowych bez podstawy prawnej. Zawiadomienie dotyczyło działania Artura Szałabawki, posła na Sejm RP i użytkownika serwisu X, który opublikował fotografię osoby prywatnej. Zdjęcie przedstawiało mężczyznę o śniadym kolorze skóry, co – jak wskazano w zawiadomieniu – mogło sugerować jego nieeuropejskie pochodzenie.

Do fotografii dołączono treść przekazaną posłowi przez niezidentyfikowaną osobę. Wiadomość zawierała informacje o trasie autobusu w Szczecinie, którym miał poruszać się mężczyzna ze zdjęcia, oraz szczegółowy opis cechy szczególnej – blizny na policzku. Całość została opublikowana w jednym wpisie. Prezes UODO uznał, że takie działanie mogło wypełniać znamiona czynu zabronionego określonego w art. 107 ustawy o ochronie danych osobowych z 2018 r., czyli przetwarzania danych osobowych, gdy ich przetwarzanie nie jest dopuszczalne.

Identyfikacja osoby prywatnej i efekt domina w mediach

Po publikacji wpisu w serwisie X nastąpiła szybka reakcja internautów. Osoba widoczna na fotografii została zidentyfikowana, a w konsekwencji w mediach zaczęły pojawiać się kolejne informacje na jej temat. Dotyczyły one m.in. kraju pochodzenia oraz wykonywanego zawodu. Z punktu widzenia organu nadzorczego kluczowe było to, że identyfikacja nastąpiła nie w wyniku działań samej osoby zainteresowanej, lecz w efekcie publicznej publikacji jej wizerunku wraz z dodatkowymi danymi kontekstowymi.

Prezes UODO zwracał uwagę, że dla oceny, czy doszło do przetwarzania danych osobowych, nie ma znaczenia, kto ostatecznie ujawnił dalsze informacje w sieci. Istotne jest, że pierwotny wpis zawierał zestaw danych umożliwiających identyfikację konkretnej osoby fizycznej, nawet jeśli formalnie nie podano jej imienia i nazwiska.

Odmowa wszczęcia dochodzenia i argument o znikomej szkodliwości

W kwietniu 2025 r. Prezes UODO otrzymał postanowienie Prokuratury Rejonowej Warszawa-Śródmieście o odmowie wszczęcia dochodzenia. Prokuratura przyjęła, że poseł opublikował wizerunek mężczyzny o śniadym kolorze skóry, jednak uznała, że czyn ten cechował się znikomym stopniem społecznej szkodliwości. W uzasadnieniu wskazano, że działanie nie wywołało realnych negatywnych konsekwencji ani dla osoby sfotografowanej, ani dla innych osób. Podkreślono także, że wpis został usunięty w krótkim czasie od publikacji.

Takie stanowisko oznaczało, że prokuratura nie dopatrzyła się podstaw do prowadzenia postępowania karnego, uznając, iż nawet jeśli doszło do naruszenia przepisów, to miało ono charakter marginalny.

Zażalenie Prezesa UODO: formalny charakter przestępstwa i możliwy dyskomfort psychiczny

W maju 2025 r. Prezes UODO wniósł zażalenie na postanowienie o odmowie wszczęcia dochodzenia. Wskazał w nim, że bezprawne przetwarzanie danych osobowych ma charakter formalny, co oznacza, że do jego popełnienia nie jest wymagane wystąpienie konkretnego skutku. Sam fakt przetwarzania danych bez podstawy prawnej jest wystarczający do wypełnienia znamion czynu zabronionego.

Prezes UODO podniósł również, że nie jest jasne, na jakiej podstawie prokuratura przyjęła brak negatywnych konsekwencji działania. Zwrócił uwagę, że publikacja wpisu o pejoratywnym wydźwięku wobec osób o nieeuropejskim pochodzeniu oraz późniejsze zainteresowanie mediów mogły wywołać u osoby, której dotyczył wpis, co najmniej dyskomfort psychiczny. Zdaniem organu nadzorczego taki aspekt nie został przez prokuraturę w ogóle przeanalizowany.

Dane osobowe i identyfikacja: wizerunek, blizna i trasa autobusu

W odniesieniu do kluczowej kwestii identyfikacji osoby Prezes UODO przypomniał definicję danych osobowych zawartą w art. 4 pkt 1 rozporządzenia 2016/679. Zgodnie z nią danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, bezpośrednio lub pośrednio. Bez znaczenia pozostaje fakt, że część informacji została zamieszczona przez osoby trzecie.

W ocenie Prezesa UODO już sam wizerunek mężczyzny, uzupełniony o informację o bliźnie na policzku oraz wskazanie konkretnej trasy autobusu, którym się poruszał, był wystarczający do identyfikacji. Usunięcie wpisu po krótkim czasie nie niweluje skutków, skoro identyfikacja faktycznie nastąpiła, a informacje zaczęły funkcjonować w przestrzeni publicznej.

Dane o pochodzeniu etnicznym jako szczególna kategoria danych

Prezes UODO podkreślił także, że dane dotyczące pochodzenia etnicznego stanowią dane szczególnej kategorii w rozumieniu art. 9 ust. 1 RODO i podlegają wzmocnionej ochronie prawnej. W tym kontekście – jak argumentował – nie można mówić o znikomym stopniu społecznej szkodliwości czynu, zwłaszcza gdy uwzględni się kontekst wpisu.

Zdaniem organu nadzorczego publikacja mogła wytwarzać atmosferę zagrożenia wobec osób o obcym pochodzeniu, a tym samym naruszać nie tylko przepisy o ochronie danych osobowych, ale również podstawowe standardy ochrony prywatności i godności jednostki.

Sąd uchyla decyzję prokuratury i przyznaje rację Prezesowi UODO

Zażalenie Prezesa UODO nie zostało uwzględnione przez prokuratora Prokuratury Rejonowej Warszawa-Śródmieście, który przekazał je do sądu. W październiku 2025 r. Sąd Rejonowy Warszawa-Śródmieście uchylił zaskarżone postanowienie i podzielił argumentację przedstawioną przez Prezesa UODO. Sąd wskazał, że możliwość identyfikacji osoby była realna, a ocena prokuratury w zakresie braku znamion czynu zabronionego nie była przekonująca.

Orzeczenie sądu oznaczało, że sprawa powinna zostać ponownie przeanalizowana przez prokuraturę z uwzględnieniem wskazówek wynikających z uzasadnienia.

Druga odmowa wszczęcia postępowania i spór o interpretację prawa

Pomimo październikowego orzeczenia sądu, w listopadzie 2025 r. prokuratura ponownie odmówiła wszczęcia postępowania. Wskazała m.in., że sąd nie był uprawniony do nakazania wszczęcia dochodzenia oraz nie określił, jakich czynności dowodowych należałoby dokonać. Zdaniem prokuratury czyn nie wypełniał znamion czynu zabronionego, ponieważ – w jej ocenie – nie doszło do przetwarzania danych pozwalających na identyfikację osoby bez nadmiernych wysiłków.

Takie stanowisko ponownie zakwestionował Prezes UODO. Uznał je za nieprawidłowe i sprzeczne zarówno z przepisami prawa, jak i z dorobkiem doktryny. Podkreślił, że dla oceny czynu nie ma znaczenia, czy identyfikacja faktycznie nastąpiła, lecz to, że była możliwa, na co zwrócił uwagę również sąd.

Kolejne zażalenie i zarzut popełnienia przestępstwa z art. 107 ustawy

W ocenie Prezesa UODO informacje zawarte we wpisie – dotyczące miasta, dzielnicy, trasy autobusu oraz cechy szczególnej w postaci blizny – były wystarczające do identyfikacji osoby. W związku z tym organ nadzorczy uznał, że doszło do popełnienia przestępstwa określonego w art. 107 ustawy o ochronie danych osobowych i wniósł kolejne zażalenie na decyzję prokuratury.

Sprawa pozostaje przykładem sporu o granice odpowiedzialności karnej za publikacje w mediach społecznościowych, status danych osobowych w kontekście wizerunku i informacji dodatkowych oraz praktyczne stosowanie przepisów o ochronie danych osobowych wobec osób pełniących funkcje publiczne.