Dzieci to szczególna grupa użytkowników – chętnie korzystają z internetu, aplikacji i mediów społecznościowych, ale często nie rozumieją konsekwencji ujawniania swoich danych. Zgodnie z motywem 38 RODO:
„Szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych.”
To oznacza, że administratorzy i podmioty przetwarzające muszą stosować wyższe standardy ochrony, szczególnie gdy usługi są skierowane bezpośrednio do dzieci lub gdy istnieje ryzyko nadużyć (np. profilowanie marketingowe, sprzedaż produktów 18+).
⚠️ Praktyczna uwaga: nawet jeśli Twoja firma formalnie nie kieruje usług do dzieci, ale w praktyce korzystają z nich osoby małoletnie, musisz uwzględnić ten fakt w swojej polityce prywatności i analizie ryzyka.
Co to są dane osobowe dziecka?
Zgodnie z art. 4 pkt 1 RODO:
„‘dane osobowe’ oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.”
W przypadku dzieci będą to m.in.:
- dane identyfikacyjne (imię, nazwisko, PESEL, data urodzenia),
- dane kontaktowe (adres, e-mail, numer telefonu rodzica),
- identyfikatory on-line (login, adres IP, identyfikatory cookies),
- informacje o zdrowiu, zainteresowaniach, edukacji, osiągnięciach,
- wizerunek dziecka – każde zdjęcie lub nagranie, które pozwala na rozpoznanie osoby,
- materiały twórcze (np. rysunki, prace szkolne) – o ile umożliwiają identyfikację autora.
📄 Ważne: RODO nie ogranicza pojęcia danych osobowych tylko do „twardych danych” takich jak PESEL – dane behawioralne czy edukacyjne także podlegają ochronie.
Czym jest sharenting i dlaczego to problem?
W szkoleniu mocno podkreślono zjawisko „sharentingu” – czyli publikowania przez rodziców zdjęć i danych dzieci w mediach społecznościowych. Badania pokazują, że znaczna część dzieci w Polsce ma swoją „cyfrową tożsamość” ukształtowaną przez rodziców już od pierwszych lat życia.
⚠️ Ryzyka:
- Utrata kontroli – dziecko dorastając nie ma wpływu na to, jakie dane o nim już krążą w sieci.
- Cyberprzemoc i hejt – publikowane treści mogą być wykorzystywane w sposób niezamierzony.
- Kradzież tożsamości – zdjęcia i dane dzieci są wykorzystywane w oszustwach, np. do zakładania fałszywych kont.
👉 W praktyce oznacza to, że nie tylko instytucje, ale i rodzice powinni świadomie chronić dane dzieci – a administratorzy usług cyfrowych muszą brać pod uwagę również to zjawisko.
Część II – Podstawy prawne przetwarzania danych dzieci
Zgodnie z art. 6 RODO, dane – zarówno dorosłych, jak i dzieci – można przetwarzać tylko wtedy, gdy istnieje jedna z legalnych podstaw. Jednak w przypadku dzieci wymogi są bardziej rygorystyczne. Poniżej omawiam wszystkie podstawy wraz z praktycznymi przykładami.
1. Obowiązek prawny (art. 6 ust. 1 lit. c RODO)
Administrator może przetwarzać dane dziecka, gdy jest do tego zobowiązany przepisem prawa.
Przykład:
Przychodnia „Zdrowie Juniora” prowadzi dokumentację szczepień dzieci. Jeśli dziecko nie zostało zaszczepione w terminie, lekarz przekazuje dane do powiatowej stacji sanitarno-epidemiologicznej – na podstawie art. 17 ustawy o zapobieganiu i zwalczaniu zakażeń i chorób zakaźnych u ludzi.
👉 Tu nie potrzeba zgody dziecka ani rodzica – podstawa wynika wprost z ustawy.
2. Interes publiczny (art. 6 ust. 1 lit. e RODO)
Dane dziecka mogą być przetwarzane, gdy jest to niezbędne do wykonania zadania realizowanego w interesie publicznym.
Przykład:
Gmina Zielone Wzgórza powołała młodzieżową radę gminy. Dane kontaktowe uczniów – radnych – są przetwarzane przez urząd gminy w oparciu o art. 5b ustawy o samorządzie gminnym.
👉 Rodzice nie muszą wyrażać zgody – podstawą jest zadanie publiczne.
3. Wykonanie umowy (art. 6 ust. 1 lit. b RODO)
Może być podstawą, ale trzeba zachować szczególną ostrożność z uwagi na zdolność do czynności prawnych dziecka.
Zdolność prawna dziecka:
- 0–13 lat – brak zdolności do czynności prawnych; umowę może zawrzeć tylko rodzic. Wyjątek: drobne umowy dnia codziennego (np. zakup biletu autobusowego), które są skuteczne z chwilą wykonania (art. 14 § 2 KC).
- 13–18 lat – ograniczona zdolność; dziecko może zawierać drobne umowy, a do innych potrzebna jest zgoda rodzica (art. 15 i 17 KC).
⚠️ Ważne orzecznictwo: Trybunał Sprawiedliwości UE w sprawie C-252/21 „Meta” stwierdził, że przetwarzanie danych na podstawie umowy jest dopuszczalne tylko wtedy, gdy jest niezbędne do wykonania jej głównego celu. Nie można pod tę podstawę „podciągać” np. działań marketingowych.
Przykład:
Platforma e-learningowa „EduNet” udostępnia kursy matematyczne dla uczniów klas 7–8. Umowę zawiera rodzic, ale dane dziecka (imię, wyniki testów) są przetwarzane jako niezbędne do realizacji kursu. Natomiast profilowanie dziecka do celów reklamowych nie mieści się w tej podstawie.
4. Żywotne interesy (art. 6 ust. 1 lit. d RODO)
Stosuje się w sytuacjach wyjątkowych, gdy przetwarzanie jest konieczne do ochrony życia lub zdrowia dziecka.
Przykład:
Podczas szkolnej wycieczki uczeń traci przytomność. Nauczyciel przekazuje ratownikowi medycznemu dane o stanie zdrowia dziecka i kontakt do rodzica. Tu podstawą nie jest zgoda ani umowa, ale ochrona żywotnych interesów.
5. Zgoda (art. 6 ust. 1 lit. a RODO)
To częsta podstawa w praktyce, ale w przypadku dzieci ma ograniczenia:
- W internecie (usługi społeczeństwa informacyjnego) zastosowanie ma art. 8 RODO, który w Polsce ustala wiek na 16 lat.
- Dzieci poniżej 16 lat mogą korzystać z usług tylko za zgodą rodzica/opiekuna.
👉 Szczegóły zgody i weryfikacji wieku omówię w Części III.
6. Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO)
Ta podstawa jest najbardziej problematyczna w odniesieniu do dzieci. RODO mówi wprost, że interesy lub prawa dziecka mają pierwszeństwo przed interesem administratora. W praktyce oznacza to, że stosowanie LIA wobec dzieci powinno być bardzo ograniczone.
Przykład pozytywny:
Szkoła prywatna stosuje monitoring wizyjny na terenie placówki w celu ochrony bezpieczeństwa dzieci. Po wykonaniu testu równowagi można przyjąć, że interes administratora przeważa nad ingerencją w prywatność.
Przykład negatywny:
Aplikacja mobilna analizuje zachowania dziecka w grze, by dopasować reklamy. Tu prawa dziecka przeważają – taka praktyka jest niedopuszczalna.
Minimalny wiek dziecka w usługach on-line – art. 8 RODO
Zgoda dziecka na przetwarzanie danych w usługach społeczeństwa informacyjnego (np. aplikacje, gry, portale społecznościowe) jest ważna dopiero od ukończenia 16 lat.
👉 W Polsce nie obniżono tego wieku (w innych państwach UE można do 13 lat, ale u nas nie).
Oznacza to:
- dziecko ≥ 16 lat – może samodzielnie wyrazić zgodę,
- dziecko < 16 lat – potrzebna jest zgoda lub aprobata rodzica/opiekuna i tylko w zakresie tej zgody.
📌 Przykład: 14-letnia Zosia zakłada konto w aplikacji muzycznej. Aplikacja powinna uzyskać zgodę jej rodzica – np. poprzez link wysłany na e-mail rodzica. Sama deklaracja Zosi, że ma 16 lat, nie wystarczy.
Jak weryfikować wiek dziecka i władzę rodzicielską?
1. Niewystarczające rozwiązanie
- Checkbox „mam 16 lat” albo wpisanie roku urodzenia – to tylko deklaracja, a nie weryfikacja.
2. Metody adekwatne do ryzyka
Europejska Rada Ochrony Danych w wytycznych nt. zgody (05/2020) wskazuje, że:
- przy niskim ryzyku – można poprzestać na oświadczeniu lub wskazaniu roku urodzenia,
- przy wyższym ryzyku – trzeba zastosować mocniejsze metody:
- szacowanie wieku (np. algorytmy oceny wieku twarzy, deklaracja + analiza spójności danych),
- weryfikację wieku przez dostawcę zewnętrznego (np. cyfrowy portfel, token 18+),
- w przypadku treści wysokiego ryzyka (alkohol, hazard, pornografia) – obowiązkowa twarda weryfikacja na podstawie dokumentu elektronicznego.
3. Proporcjonalność i minimalizacja
- Administrator powinien przetwarzać tylko minimalne dane potrzebne do potwierdzenia wieku,
- unikać przechowywania skanów dowodów osobistych,
- preferować tokeny lub jednorazowe potwierdzenia od zaufanych podmiotów.
📌 Przykład: Platforma gier „PlayFun” oferuje darmowe gry dla dzieci, ale także płatne dodatki. Aby umożliwić zakupy, platforma prosi rodzica o jednorazową weryfikację (np. przez przelew 1 zł). To pozwala potwierdzić pełnoletniość i zgodę rodzica.
Dane szczególnych kategorii (art. 9 RODO) – dzieci
RODO nie wprowadza specjalnych wyjątków dla dzieci w art. 9, ale w praktyce przetwarzanie danych wrażliwych (np. zdrowotnych) ma szczególne znaczenie.
⚠️ Zgoda dziecka na dane wrażliwe (np. ujawnianie informacji o zdrowiu, poglądach, religii) w praktyce dopiero od 18 lat, bo dopiero wtedy jest pełna zdolność do czynności prawnych. Wcześniej zgodę wyraża rodzic/opiekun.
📌 Przykład: Aplikacja fitness dla nastolatków zbiera dane o pulsie i stanie zdrowia. Zgoda musi być udzielona przez rodzica – dziecko samo nie może jej skutecznie wyrazić.
Co z przeglądaniem stron przez dziecko?
Samo przeglądanie stron internetowych przez dziecko nie oznacza, że dane osobowe stały się publiczne. To ważne rozróżnienie – administrator nie może powołać się na art. 9 ust. 2 lit. e RODO (dane „upublicznione w sposób oczywisty”), tylko dlatego, że dziecko weszło na jego stronę.
Weryfikacja w praktyce – nowe trendy
- Komisja Europejska i Digital Services Act (DSA) wskazują, że weryfikacja wieku ma być standardem w usługach wysokiego ryzyka.
- 4 czerwca 2025 r. – jeden z największych serwisów dla dorosłych zawiesił działalność we Francji, bo nie wdrożył skutecznej weryfikacji wieku. To symboliczny sygnał: era „checkboxów” się kończy.
Część IV – Wizerunek dziecka a prawo do ochrony danych
Wizerunek jako dana osobowa
Zdjęcie lub nagranie dziecka, na którym można je rozpoznać, jest daną osobową w rozumieniu art. 4 pkt 1 RODO. Oznacza to, że każda operacja na takim materiale (utrwalenie, przechowywanie, publikacja w sieci) to „przetwarzanie danych osobowych” i wymaga jednej z podstaw prawnych z art. 6 RODO.
Dwa reżimy prawne: RODO i prawo autorskie
W przypadku wizerunku dziecka mamy podwójną ochronę prawną:
- RODO – ochrona danych osobowych (potrzebna podstawa z art. 6, np. zgoda, umowa, interes publiczny).
- Prawo autorskie – art. 81 ustawy o prawie autorskim i prawach pokrewnych wymaga zezwolenia na rozpowszechnianie wizerunku.
To oznacza, że:
- nawet jeśli zgoda na przetwarzanie danych osobowych jest prawidłowo zebrana, nadal może być potrzebne odrębne zezwolenie na publikację zdjęcia,
- a odwrotnie: nawet jeśli prawo autorskie przewiduje wyjątek od zezwolenia, administrator nadal musi mieć podstawę z RODO.
Zgoda na przetwarzanie a zezwolenie na rozpowszechnianie
- Zgoda na przetwarzanie (RODO) – dotyczy operacji na danych (np. przechowywanie zdjęć w bazie, wysyłanie w newsletterze).
- Zezwolenie na rozpowszechnianie (art. 81 pr. aut.) – dotyczy publikacji zdjęcia/wizerunku w taki sposób, że staje się ono dostępne dla nieokreślonego kręgu osób (np. w internecie, w prasie).
📌 Dobra praktyka: dokumenty powinny być rozdzielone. Jedna zgoda na przetwarzanie danych, druga – na publikację wizerunku.
Wyjątki od obowiązku uzyskania zezwolenia na publikację wizerunku
Zgodnie z art. 81 ustawy o prawie autorskim:
- osoba powszechnie znana – gdy wizerunek wykonano w związku z pełnieniem funkcji publicznych (np. młody sportowiec na zawodach międzynarodowych transmitowanych w TV),
- wizerunek szczegół całości – np. zdjęcie publicznej imprezy, krajobrazu, zgromadzenia, gdzie dziecko jest tylko elementem większego obrazu.
⚠️ Uwaga: nawet jeśli nie trzeba zezwolenia w świetle prawa autorskiego, to i tak trzeba mieć podstawę z art. 6 RODO do przetwarzania danych.
Przykłady praktyczne
Przykład 1 – Szkoła podstawowa
Szkoła chce umieścić zdjęcia uczniów na stronie www.
- Musi uzyskać zgodę rodzica na przetwarzanie danych (RODO) oraz zezwolenie na publikację wizerunku (art. 81 pr. aut.).
- Najlepiej zebrać te zgody w dwóch odrębnych formularzach.
Przykład 2 – Klub sportowy
Na stronie klubu pojawia się zdjęcie drużyny dziecięcej w czasie meczu. Dzieci są widoczne, ale stanowią szczegół większej całości.
- Zezwolenie na publikację może nie być wymagane,
- ale nadal potrzebna jest podstawa z RODO (np. zgoda rodzica albo test uzasadnionego interesu – ale z dużą ostrożnością wobec dzieci).
Przykład 3 – Gazeta lokalna
Gazeta publikuje zdjęcia z miejskiego festynu, gdzie widać grupę bawiących się dzieci.
- Tu wizerunek dziecka jest elementem większej całości – zezwolenie nie jest potrzebne.
- Jednak redakcja musi mieć podstawę z RODO – najczęściej „interes publiczny” (art. 6 ust. 1 lit. e) w połączeniu z prawem prasowym.
Najczęstsze błędy w praktyce
✖ Łączenie w jednym dokumencie zgody na przetwarzanie danych i zezwolenia na publikację wizerunku.
✖ Uważanie, że „skoro to impreza publiczna, to nie muszę nic zbierać” – nadal obowiązuje RODO.
✖ Brak możliwości łatwego wycofania zgody – RODO wymaga, by zgoda była odwołalna równie łatwo, jak została udzielona.
Część V – Przejrzystość i prawa dziecka w RODO
Zasada przejrzystości – jak informować dzieci o danych?
Motyw 58 RODO nakazuje, aby informacje dla dzieci były:
- zwięzłe,
- łatwo dostępne,
- zrozumiałe,
- napisane prostym językiem.
👉 W praktyce oznacza to, że zwykła „klauzula informacyjna” w prawniczym języku jest niewystarczająca. Administrator musi zadbać, by dziecko zrozumiało, co się dzieje z jego danymi.
Jak to zrobić w praktyce?
- krótkie zdania i brak trudnych pojęć,
- używanie przykładów zamiast definicji,
- piktogramy i grafiki (np. ikona kosza przy informacji o usuwaniu danych),
- osobna „karta prywatności dla dziecka” – np. w formie komiksu, quizu czy kolorowej infografiki.
📌 Przykład: aplikacja edukacyjna dla dzieci wprowadziła dwie wersje polityki prywatności – pełną dla rodziców i uproszczoną dla uczniów. W wersji dziecięcej użyto ikon: ⏳ (czas przechowywania), 👀 (kto widzi dane), 🗑 (jak je usunąć).
Prawa dziecka w RODO
Dziecko ma takie same prawa jak dorosły w zakresie danych osobowych (art. 12–23 RODO). Najważniejsze z nich to:
- prawo dostępu – dziecko (lub rodzic) może zapytać, jakie dane są przetwarzane,
- prawo do sprostowania – możliwość poprawienia błędnych danych,
- prawo do ograniczenia przetwarzania – np. gdy dane są kwestionowane,
- prawo do przenoszenia danych – np. wyniki edukacyjne między szkołami on-line,
- prawo do sprzeciwu – wobec działań na podstawie uzasadnionego interesu,
- prawo do usunięcia danych („bycia zapomnianym”) – szczególnie mocno akcentowane przy dzieciach.
Prawo do bycia zapomnianym – szczególna ochrona dzieci
Motyw 65 RODO podkreśla, że dziecko mogło udzielić zgody na przetwarzanie swoich danych, nie rozumiejąc ryzyk. Dlatego ma prawo zażądać usunięcia danych, zwłaszcza gdy były one zebrane w ramach usług on-line.
Praktyczne znaczenie:
- Nastolatek, który udostępniał dane na forum, może po kilku latach domagać się ich usunięcia.
- Rodzice małego dziecka, którzy publikowali jego zdjęcia w aplikacji szkolnej, mogą żądać ich usunięcia.
Kto zgłasza żądanie w imieniu dziecka?
- Rodzice/opiekunowie – w imieniu dziecka, które nie ma pełnej zdolności do czynności prawnych.
- Samo dziecko – w praktyce zwykle od 13–16 roku życia, jeśli potrafi zrozumieć swoje prawa.
Weryfikacja tożsamości zgłaszającego
Administrator musi sprawdzić, czy żądanie składa faktycznie rodzic lub opiekun:
- może poprosić o dokument potwierdzający władzę rodzicielską,
- ale powinien unikać zbierania nadmiarowych danych (np. pełnego odpisu aktu urodzenia – wystarczy potwierdzenie podstawowych faktów).
⚠️ W sytuacjach spornych (np. rozwód rodziców) administrator musi zachować szczególną ostrożność – i często poprosić o dodatkowe potwierdzenie.
Jak ułatwiać dzieciom i rodzicom korzystanie z praw?
Dobre praktyki:
- prosty formularz on-line (np. „usuń moje dane”),
- dedykowany adres e-mail typu privacy@…,
- potwierdzenie odbioru żądania,
- rejestr żądań,
- proporcjonalna weryfikacja tożsamości (np. wysłanie linku weryfikacyjnego na adres podany przy rejestracji zamiast skanów dokumentów).
📌 Przykład: klub sportowy „Junior Team” umożliwia rodzicom cofnięcie zgody na publikację zdjęć dziecka przez kliknięcie linku w mailu. Zdjęcie jest automatycznie usuwane ze strony w ciągu 72 godzin.
Część VI – Praktyka, błędy, podsumowanie i narzędzia dla administratorów
Scenariusze praktyczne
Scenariusz 1 – Aplikacja edukacyjna „MikroLab”
Stan faktyczny (zmieniony):
Firma EdTech „EduNova” tworzy aplikację „MikroLab” do eksperymentów przyrodniczych. Konto dziecka zakłada rodzic. Aplikacja zbiera: imię, rok urodzenia, e-mail rodzica, postępy w zadaniach, zdjęcia prac plastycznych.
Jak legalnie działać:
- Podstawa prawna: wykonanie umowy z rodzicem (konto rodzinne) + dodatkowa zgoda rodzica na publikację galerii prac.
- Wiek: podczas pierwszego logowania aplikacja szacuje wiek dziecka na podstawie klasy i deklaracji roku urodzenia.
- Wizerunek/prace: publikacja prac i zdjęć wyłącznie za zgodą rodzica (art. 81 pr. aut.) i przy podstawie z art. 6 RODO.
- Przejrzystość: uproszczona polityka prywatności dla dzieci w formie komiksu.
- Retencja: dane postępów – do czasu usunięcia konta; kopie zapasowe – 30 dni.
- Prawa: rodzic może jednym kliknięciem usunąć wszystkie dane dziecka.
Scenariusz 2 – Klub sportowy „Orliki 2009”
Stan faktyczny (zmieniony):
Stowarzyszenie sportowe „MKS Orion” publikuje na Facebooku zdjęcia z meczów.
Jak legalnie działać:
- Zdjęcia indywidualne – konieczna zgoda rodzica (RODO) i zezwolenie na publikację wizerunku (art. 81 pr. aut.).
- Zdjęcia grupowe – możliwa podstawa z „szczegółu większej całości”, ale nadal wymagana podstawa z art. 6 RODO.
- Przejrzystość: tablica informacyjna przy wejściu na stadion („podczas wydarzeń wykonywane są zdjęcia”).
- Wycofanie zgody: prosty mechanizm „take down” – zdjęcie usuwa się w ciągu 72 godzin.
Najczęstsze błędy administratorów
✖ Checkbox „mam 16 lat” jako jedyna forma weryfikacji – to nie spełnia art. 8 RODO.
✖ Łączenie zgody RODO z zezwoleniem na rozpowszechnianie wizerunku w jednym dokumencie.
✖ Przechowywanie skanów dowodów osobistych rodziców bez uzasadnienia – narusza zasadę minimalizacji.
✖ Uzasadniony interes (LIA) dla reklamy behawioralnej dzieci – w praktyce prawie nigdy nie przejdzie testu równowagi.
✖ Brak łatwego mechanizmu wycofania zgody – zgoda musi być odwołalna tak łatwo, jak została wyrażona.
Podsumowanie – kluczowe wnioski
✔ Dane dzieci są szczególnie chronione – administrator ma obowiązek stosować wyższe standardy (motyw 38 RODO).
✔ W usługach on-line obowiązuje próg wieku 16 lat – sama deklaracja dziecka nie wystarczy.
✔ Wizerunek dziecka to szczególny przypadek – potrzebna podstawa z RODO i (najczęściej) zezwolenie z art. 81 pr. aut.
✔ Prawa dziecka (w tym prawo do bycia zapomnianym) muszą być realizowane w praktyce – najlepiej przez łatwe formularze i kanały kontaktu.
✔ Sharenting i brak kontroli nad danymi to realne ryzyka – odpowiedzialność spada zarówno na rodziców, jak i na administratorów.
Podstawa prawna
- art. 4 pkt 1, art. 6 ust. 1 lit. a–f, art. 8, art. 9, art. 12–17; motywy 38, 58, 65 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- art. 17 – ustawa z 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi
- art. 5b – ustawa z 8 marca 1990 r. o samorządzie gminnym
- art. 12, 14 § 2, 15, 17 – Kodeks cywilny (ustawa z 23 kwietnia 1964 r.)
- art. 81 – ustawa z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych
- Orzecznictwo TSUE (m.in. C-252/21 „Meta”) i wytyczne EROD
Tematy porad zawartych w poradniku
- RODO dzieci w internecie 2025
- weryfikacja wieku on-line RODO
- zgoda rodzica na wizerunek dziecka
- publikacja zdjęć dzieci prawo autorskie
- prawo do bycia zapomnianym dziecko
Przydatne adresy urzędowe
- https://uodo.gov.pl
- https://www.gov.pl/web/niezagubdzieckawsieci
- https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20160542122 (RODO – tekst w Dzienniku Urzędowym UE w ISAP)
- https://isap.sejm.gov.pl/isap.nsf/home.xsp (wyszukiwarka ustaw: prawo autorskie, kodeks cywilny, ustawa o samorządzie gminnym, ustawa o zakażeniach)