22 czerwca 2026 r. Prezes UODO wydał decyzję w sprawie Energa-Obrót i jej partnerów prowadzących sprzedaż door-to-door. Handlowcy komunikowali się przez WhatsApp, którego administrator nie autoryzował, a na prywatnych telefonach trzymali skany i zdjęcia umów z klientami. Naruszenie dotyczyło co najmniej 15 osób, a część komunikacji odbywała się poza Europejskim Obszarem Gospodarczym. Skończyło się upomnieniami dla administratora i karą 10 145 zł dla jednego z podmiotów przetwarzających. Kwota jest mała. Uzasadnienie dotyczy każdej firmy, w której „przecież wszyscy mają WhatsAppa".

Co dokładnie zarzucił UODO

• Administratorowi: brak odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych (art. 32 RODO) oraz brak właściwej weryfikacji podmiotu przetwarzającego, czyli partnera handlowego, pod kątem gwarancji bezpieczeństwa (art. 28).
• Podmiotowi przetwarzającemu: dopuszczenie, by pracownicy używali komunikatora bez wdrożenia środków ochrony, i przechowywanie dokumentów z danymi klientów na prywatnych urządzeniach.

Ważne, czego UODO nie powiedział: że WhatsApp jest zakazany. Problemem nie był komunikator, tylko brak decyzji, zasad i kontroli. To samo można powiedzieć o zdjęciach umów: nie chodzi o aparat w telefonie, ale o to, że umowa klienta wylądowała w galerii obok zdjęć z wakacji, w kopii zapasowej u operatora chmury konsumenckiej i na urządzeniu, którego firma nie kontroluje.

Gdzie pęka komunikator prywatny w firmie

Co zamiast tego: czat powiązany z dyskiem firmowym

Różnica między komunikatorem prywatnym a czatem firmowym nie polega na wyglądzie okna. Polega na czterech rzeczach:

1. Plik nie jest wysyłany, tylko udostępniany. Umowa klienta leży w folderze Klienci/Kowalski na dysku firmowym, a na czacie idzie link do niej. Kto nie ma uprawnień do folderu, widzi link, ale nie dokument. Jedna kopia, jedno miejsce do usunięcia.
2. Konto należy do firmy. Pracownik loguje się na konto firmowe; po odejściu administrator je wyłącza i historia zostaje w firmie, nie na jego telefonie.
3. Dostawca ma umowę z firmą. Regulamin, umowa powierzenia, informacja o miejscu przetwarzania. Konsumencki komunikator ma umowę z osobą, nie z Twoją firmą.
4. Jest historia. Kto udostępnił plik, komu i kiedy; kto go pobrał. Bez tego rozliczalność z art. 5 RODO jest deklaracją.

W eDysko czat zespołowy jest częścią dysku: rozmowa toczy się obok folderów, a pliki wskazuje się linkiem z uprawnieniami folderu. Handlowiec w terenie robi zdjęcie umowy prosto do folderu klienta z telefonu, a nie do galerii. Jak zorganizować udostępnianie, żeby nie wracać do wysyłania załączników, opisaliśmy w tekście o bezpiecznym udostępnianiu plików.

Zasady na jedną stronę

1. Do rozmów o klientach i dokumentach służy wyłącznie wskazany czat firmowy. Komunikatory prywatne są dopuszczone do spraw organizacyjnych bez danych klientów („spóźnię się 10 minut").
2. Dokumentów z danymi klientów nie fotografuje się do galerii telefonu. Zdjęcie robi się aplikacją dysku firmowego prosto do folderu klienta.
3. Plików nie wysyła się jako załączników; udostępnia się je linkiem z uprawnieniami.
4. Konta w czacie i na dysku są firmowe i imienne. Odejście pracownika oznacza wyłączenie konta tego samego dnia.
5. Na prywatnym telefonie aplikacja firmowa działa z blokadą ekranu i możliwością zdalnego wylogowania.
6. Partnerzy zewnętrzni (agenci, podwykonawcy) dostają konta gościa do wskazanych folderów i podpisują umowę powierzenia, w której komunikator i miejsce przechowywania dokumentów są nazwane wprost.
7. Raz na kwartał ktoś sprawdza, czy zasady są stosowane, i zapisuje wynik. To ten dokument pokażesz UODO, jeśli mimo wszystko coś się stanie.

Szczególny przypadek: sieć sprzedaży i podwykonawcy

Decyzja z czerwca 2026 r. dotyczyła właśnie tego układu: administrator, jego partnerzy i ich handlowcy. UODO ukarał podmiot przetwarzający, ale administratora upomniał za brak weryfikacji. Jeżeli Twoja mała firma korzysta z agentów, przedstawicieli na umowach B2B albo biura zewnętrznego, odpowiadasz za to, jak oni obchodzą się z danymi Twoich klientów. Minimum to: umowa powierzenia, wskazany kanał komunikacji i miejsce na dokumenty, konto gościa zamiast „prześlij mi na WhatsAppa". O tym, jak przy tym ustawić dostęp do plików, jest artykuł o uprawnieniach do plików w firmie.

Najczęstsze pytania

Czy WhatsApp Business rozwiązuje problem?

Częściowo. Wersja Business dla firm ma inne warunki niż aplikacja konsumencka i pozwala oddzielić konto firmowe od prywatnego. Nie rozwiązuje jednak problemu plików rozsyłanych do wielu telefonów, kopii zapasowych u operatorów chmury konsumenckiej ani braku uprawnień do dokumentów. Nadaje się do kontaktu z klientem, gorzej do obiegu dokumentów w zespole.

Kara 10 145 zł to mało. Czy naprawdę warto się tym przejmować?

W tej sprawie tak wyszło, bo naruszenie dotyczyło kilkunastu osób. Ta sama praktyka w firmie z tysiącem klientów i wyciekiem po utracie telefonu kończy się inaczej. Poza karą jest obowiązek zawiadomienia klientów o naruszeniu i to zwykle boli bardziej.

Handlowcy muszą robić zdjęcia umów w terenie. Jak inaczej?

Tak samo, tylko do innego miejsca: aplikacja dysku firmowego na telefonie ma funkcję skanowania do folderu. Zdjęcie nie ląduje w galerii ani w kopii zapasowej telefonu, tylko od razu u klienta w firmowej strukturze. Więcej o tym w artykule o skanowaniu dokumentów do chmury.

Co zrobić z historią czatów z ostatnich lat?

Wyeksportować to, co jest potrzebne (np. ustalenia z klientem), do folderu klienta na dysku firmowym, a resztę usunąć z telefonów, włącznie z kopiami zapasowymi czatu. Zapisać datę i zakres tej operacji: to część wykazania, że firma uporządkowała proces.