Olay
Basına yansıyan haberlere göre 2023 yılının Eylül ayında İspanya'nın Almendralejo kentinde kız öğrencilerin fotoğrafları yapay zekâ ile manipüle edilerek yüzleri çıplak bedenlere yerleştirildi ve görüntüler sosyal medyada yayıldı. AEPD'nin kararında, yayımlanan bilgilere dayanılarak görüntülerin bazı internet portallarına da konduğu aktarıldı. Kurum 20 Eylül 2023'te ön inceleme başlattı; 2 Ekim 2023'te ilgili kişilerden biri şikâyette bulundu. AEPD, savcılıktan aldığı bilgilerle görüntülerin bir mesajlaşma grubu üzerinden yayılmasına katılan kişileri belirledi. Basına göre olay Badajoz Çocuk Mahkemesinde de yargılandı; mahkeme 15 reşit olmayanı sorumlu buldu ve bir yıl denetimli serbestliğe hükmetti. AEPD, 17 Mart 2025'te bu kişilerden biri hakkında idari yaptırım süreci başlattı.
Hukuki soru
Kurumun önündeki soru, yapay zekâ ile manipüle edilmiş fotoğrafların yayılmasının Genel Veri Koruma Tüzüğü (GDPR) anlamında kişisel veri işleme sayılıp sayılmadığıydı. Bunun için önce, tanınabilir yüzler içeren manipüle edilmiş görüntülerin kişisel veri sayılıp sayılmayacağı belirlenmeliydi. İkinci soru, görüntüleri bir mesajlaşma grubunda paylaşan kişinin veri sorumlusu sayılıp sayılmayacağıydı. Son olarak bu işleme için GDPR'ın 6. maddesinin 1. fıkrasında sayılan hukuki sebeplerden birinin bulunup bulunmadığı ve işlemenin güçlendirilmiş korumadan yararlanan kişilere ilişkin olmasının değerlendirmeyi nasıl etkileyeceği incelendi.
Karar
AEPD, bir kişiyi tanımlayan ya da tanınabilir kılan görüntünün kişisel veri olduğunu ve yapay zekâ ile manipüle edilmiş fotoğrafların yayılmasının GDPR'ın 4. maddesinin 2. bendi anlamında işleme oluşturduğunu kabul etti. Görüntüleri mesajlaşma grubunda paylaşan kişi, bu faaliyetin amaç ve araçlarını belirlediği için veri sorumlusu sayıldı. İşlemenin 6. maddenin 1. fıkrasındaki hukuki sebeplerden hiçbirine dayanmadığı sonucuna varıldı ve 83. maddenin 5. fıkrası uyarınca 2.000 avro para cezası öngörüldü. Veri sorumlusunun yasal temsilcisi 5 Nisan 2025'te cezayı ödedi; bu ödeme sorumluluğun kabulü anlamına geliyordu. İki ayrı yüzde 20 indirimle ceza 1.200 avroya indi. Kurum ihlali tespit ederek süreci sona erdirdi ve karar idari yoldan kesinleşti.
Neden önemli
Karar, yapay zekâ ile üretilmiş cinsel içerikli sahte görüntülerin yayılmasını ceza hukukunun yanında veri koruma hukuku bakımından da yaptırıma bağladı. Kurum, yapay zekâ ile manipüle edilmiş ve kişileri tanınabilir kılan görüntüleri kişisel veri olarak ele aldı; görüntülerin bir mesajlaşma grubunda yayılmasına katılan kişiyi de veri sorumlusu saydı. Basında, bir veri koruma otoritesinin bu tür görüntülerin yayılması nedeniyle verdiği ilk para cezalarından biri olarak aktarıldı. Karar, GDPR'ın bu tür içerikleri dolaşıma sokan bireysel kullanıcılara da uygulanabileceğini gösteriyor.
İlgili aşamalar
Basına göre AEPD, olaya karışan en az bir başka reşit olmayana da para cezası verdi; o kişinin avukatı, aynı fiil için hem çocuk mahkemesinde hem de idari yoldan yaptırım uygulanamayacağını ileri sürerek bu cezaya itiraz etti. Bu kayıttaki dosyada ise ceza ödendi ve idari yoldaki itiraz haklarından feragat edildi.