WhatsApp w firmie a RODO: praktyczne zasady

WhatsApp w firmie może być wykorzystywany zgodnie z RODO, ale samo szyfrowanie wiadomości nie rozwiązuje wszystkich problemów. Organizacja musi określić cel komunikacji, podstawę prawną, zakres przesyłanych danych, zasady korzystania z urządzeń oraz okres przechowywania rozmów. Inaczej należy oceniać odpowiedź na pytanie klienta, inaczej grupę pracowniczą, a jeszcze inaczej wysyłanie ofert marketingowych. Znaczenie ma również to, czy firma korzysta z WhatsApp Business na kontrolowanym numerze, czy pracownicy przesyłają dokumenty przez prywatne konta. W czerwcu 2026 roku UODO opisał sprawę, w której wielomiesięczne używanie nieautoryzowanego WhatsApp do przesyłania skanów umów klientów doprowadziło do upomnień i kary. W artykule wyjaśniamy, jak uniknąć podobnego scenariusza.

WhatsApp w firmie a RODO oraz bezpieczna komunikacja z klientami i pracownikami

Najważniejsze informacje

WhatsApp nie jest zakazany przez RODO, ale jego używanie musi zostać zatwierdzone, ocenione i opisane w procedurach firmy.
W komunikacji biznesowej należy korzystać z firmowego konta WhatsApp Business, a nie z prywatnych kont pracowników.
Szyfrowanie wiadomości nie zabezpiecza danych zapisanych na telefonach, w kopiach zapasowych, powiadomieniach i na połączonych urządzeniach.
Dodanie pracownika do grupy ujawnia innym uczestnikom jego numer telefonu i może wymagać zapewnienia alternatywnego kanału komunikacji.
Wysyłanie ofert przez WhatsApp wymaga uprzedniej zgody wynikającej z Prawa komunikacji elektronicznej.
Firma musi ustalić, które wiadomości przenosi do CRM lub dokumentacji sprawy oraz kiedy usuwa historię rozmów.

Czy firma może korzystać z WhatsApp zgodnie z RODO?

Tak. RODO nie wskazuje zamkniętej listy komunikatorów, z których mogą korzystać przedsiębiorcy. Administrator ma jednak obowiązek dobrać rozwiązanie odpowiednie do ryzyka i zapewnić poufność, integralność oraz dostępność danych.

Ocena nie może ograniczać się do stwierdzenia, że „wszyscy korzystają z WhatsApp”. Firma powinna ustalić:

jakie dane będą przesyłane;
kto będzie nadawcą i odbiorcą wiadomości;
czy komunikacja dotyczy klientów, pracowników czy kontrahentów;
czy używane są urządzenia służbowe czy prywatne;
gdzie trafiają załączniki i kopie rozmów;
kto może korzystać z konta firmowego;
jak odbierany jest dostęp po odejściu pracownika;
w jaki sposób realizowane są prawa osób wynikające z RODO.

Zgodnie z art. 24 i 32 RODO administrator odpowiada za wdrożenie i wykazanie odpowiednich zabezpieczeń. Jeżeli komunikator jest faktycznie używany w sprzedaży, HR albo obsłudze klienta, powinien zostać uwzględniony w analizie ryzyka, rejestrze czynności, zasadach retencji oraz procedurze obsługi incydentów.

Punktem wyjścia może być audyt wykorzystania komunikatorów i ochrony danych, który pozwoli ustalić, czy praktyka pracowników odpowiada oficjalnym procedurom organizacji.

Zwykły WhatsApp czy WhatsApp Business?

Do komunikacji prowadzonej w imieniu firmy właściwym rozwiązaniem jest WhatsApp Business. Konto powinno zostać zarejestrowane na numer kontrolowany przez organizację, zarządzane przez wyznaczone osoby i zabezpieczone w sposób umożliwiający odebranie dostępu.

Warunki WhatsApp Business wskazują, że firma decydująca, z którymi klientami kontaktuje się za pośrednictwem usługi, pozostaje administratorem ich danych. W odniesieniu do określonych danych klientów przekazywanych w ramach usług biznesowych WhatsApp działa jako podmiot przetwarzający na podstawie włączonych do warunków zasad przetwarzania danych.

Nie oznacza to automatycznej zgodności całego procesu. Firma nadal odpowiada za:

legalność pozyskania numeru;
wybór celu i podstawy prawnej;
treść wysyłanych wiadomości;
realizację obowiązku informacyjnego;
zakres danych umieszczanych w rozmowie;
dostęp pracowników i dostawców;
przechowywanie oraz usuwanie wiadomości.

WhatsApp informuje również, że przedsiębiorca korzystający z aplikacji WhatsApp Business jest administratorem kontaktów znajdujących się w książce adresowej urządzenia. Synchronizowanie całej prywatnej książki telefonicznej pracownika może więc powodować przekazanie danych osób, z którymi firma nie ma żadnej relacji.

Bezpieczniejszym rozwiązaniem jest osobny telefon lub zarządzany profil służbowy, firmowa karta SIM oraz książka adresowa zawierająca tylko kontakty potrzebne do działalności.

Dlaczego szyfrowanie end to end nie wystarcza?

WhatsApp stosuje szyfrowanie end to end do ochrony treści wiadomości i połączeń podczas ich przesyłania. Oznacza to, że treści nie powinny być możliwe do odczytania przez osoby znajdujące się pomiędzy nadawcą i odbiorcą.

Szyfrowanie nie eliminuje jednak ryzyka występującego na urządzeniu użytkownika. Dane mogą zostać:

wyświetlone w powiadomieniu na zablokowanym ekranie;
zapisane automatycznie w galerii telefonu;
skopiowane lub sfotografowane;
przesłane dalej do innej osoby;
wyeksportowane do pliku;
pozostawione na połączonym komputerze;
uwzględnione w kopii zapasowej;
odczytane po utracie niezabezpieczonego telefonu.

Kopie rozmów wymagają osobnej konfiguracji. WhatsApp umożliwia włączenie szyfrowanej kopii zapasowej zabezpieczonej hasłem, kluczem albo inną obsługiwaną metodą. Firma powinna zdecydować, czy backup jest potrzebny, kto kontroluje jego zabezpieczenie i kiedy zostanie usunięty.

Hasło, blokada ekranu, szyfrowanie urządzenia, uwierzytelnianie dwuskładnikowe i kontrola połączonych urządzeń pozostają niezbędne. Szyfrowanie transmisji nie naprawi też sytuacji, w której pracownik wysłał dokument do niewłaściwego odbiorcy.

BPPZ – Biuro Porad Prawnych Zacharski

Zadzwoń Napisz wiadomość

Podstawa prawna zależy od celu wiadomości

Nie każda wiadomość wysyłana przez WhatsApp wymaga zgody na gruncie RODO. Podstawę trzeba przypisać do konkretnego celu.

Sposób wykorzystania	Możliwa podstawa	Najważniejszy warunek
Odpowiedź na pytanie klienta	Działania przed zawarciem umowy lub prawnie uzasadniony interes	Kontakt ograniczony do treści zapytania
Realizacja zamówienia lub usługi	Wykonanie umowy	Wiadomość potrzebna do realizacji sprawy
Obsługa reklamacji	Obowiązek prawny, umowa lub uzasadniony interes	Zachowanie dokumentacji poza samym komunikatorem
Organizacyjna grupa pracowników	Prawnie uzasadniony interes	Konieczność, proporcjonalność i jasne zasady
Przesyłanie ofert i promocji	Zgoda wymagana przez PKE oraz właściwa podstawa RODO	Uprzednie i możliwe do wykazania zezwolenie na ten kanał
Dane o zdrowiu lub inne dane szczególnej kategorii	Podstawa z art. 9 RODO i podwyższone zabezpieczenia	WhatsApp często nie będzie odpowiednim kanałem

Jeżeli klient sam wysłał pytanie przez WhatsApp, firma może odpowiedzieć w zakresie tego zapytania. Nie oznacza to jednak zgody na późniejsze przesyłanie promocji, newsletterów i kolejnych ofert.

WhatsApp w kontakcie z klientami

Komunikator może sprawdzić się przy potwierdzaniu terminu, przekazywaniu krótkich informacji organizacyjnych albo odpowiadaniu na pytania. Nie powinien automatycznie zastępować CRM, systemu reklamacyjnego, firmowej poczty czy bezpiecznego portalu klienta.

Pracownik powinien wiedzieć, kiedy przenieść rozmowę do innego kanału. Dotyczy to szczególnie sytuacji, w których klient chce przesłać:

skan dowodu osobistego;
numer PESEL;
dokumentację medyczną;
dane dotyczące wynagrodzenia;
dane logowania lub hasło;
pełną umowę;
dokumenty zawierające dane innych osób;
informacje objęte tajemnicą zawodową.

Dobrym rozwiązaniem jest krótka odpowiedź wyjaśniająca, że ze względów bezpieczeństwa dokument powinien zostać przesłany przez wskazany kanał. Pracownik nie powinien zachęcać klienta do wysyłania większej ilości danych tylko dlatego, że komunikator jest wygodny.

Jeżeli kontakt jest pierwszym miejscem pozyskania danych klienta, firma musi również zrealizować obowiązek informacyjny. Można to zrobić za pomocą krótkiego komunikatu zawierającego najważniejsze informacje i link do pełnej klauzuli prywatności.

Marketing przez WhatsApp wymaga wcześniejszej zgody

Artykuł 398 Prawa komunikacji elektronicznej obejmuje korzystanie z urządzeń końcowych i usług komunikacji interpersonalnej w celu przesyłania informacji handlowych, w tym marketingu bezpośredniego. Wysłanie takiej wiadomości wymaga uprzedniej zgody abonenta lub użytkownika końcowego.

W praktyce oznacza to, że firma nie powinna wysyłać oferty na numer znaleziony na stronie internetowej, w wizytówce albo w publicznym katalogu tylko dlatego, że numer jest dostępny. Również wcześniejsze pytanie klienta o produkt nie oznacza automatycznie zgody na stałe przesyłanie promocji.

Zgoda powinna:

obejmować kontakt za pomocą WhatsApp lub jasno wskazanej kategorii komunikatora;
zostać udzielona przed pierwszą wiadomością marketingową;
być dobrowolna, konkretna i świadoma;
pozwalać na identyfikację firmy;
zostać zarejestrowana w sposób umożliwiający jej wykazanie;
być możliwa do łatwego wycofania.

Pierwsza wiadomość z pytaniem „czy możemy przesłać ofertę?” może już zostać uznana za kontakt marketingowy. Bezpieczniej pozyskać zgodę przez formularz, konto klienta lub inny proces inicjowany przez zainteresowaną osobę.

Szczegółowe zasady opisuje artykuł BPPZ Zgoda na marketing bezpośredni zgodnie z PKE i RODO.

Grupa pracownicza na WhatsApp a RODO

Grupa pracownicza może usprawniać komunikację organizacyjną, ale jej utworzenie wiąże się z ujawnieniem danych uczestników. Członkowie grupy mogą zobaczyć numery telefonów, nazwy profili, zdjęcia oraz informacje publikowane w ramach konwersacji.

Przed dodaniem pracownika do grupy firma powinna poinformować go o:

celu grupy;
osobie zarządzającej;
zakresie publikowanych informacji;
zasadach korzystania z prywatnego numeru;
okresie działania grupy;
sposobie zgłaszania problemów;
alternatywnym kanale komunikacji;
usunięciu z grupy po zakończeniu pracy.

Zgoda pracownika nie zawsze jest najlepszą podstawą. Ze względu na nierównowagę występującą w zatrudnieniu może być trudno wykazać, że została udzielona całkowicie dobrowolnie. W wielu przypadkach firma będzie analizowała prawnie uzasadniony interes, konieczność komunikacji i wpływ na prywatność pracownika.

Jeżeli grupa nie jest rzeczywiście niezbędna, a pracownik ma używać prywatnego numeru i urządzenia, organizacja powinna zapewnić alternatywę. Bezpieczniejszym standardem jest telefon służbowy albo zatwierdzony komunikator działający na firmowym koncie.

Na grupie nie należy publikować zwolnień lekarskich, wyników badań, list wynagrodzeń, ocen pracowniczych, dokumentów kadrowych, haseł ani danych klientów. Nawet prawidłowo utworzona grupa nie staje się automatycznie odpowiednim kanałem dla każdej informacji.

Prywatny telefon pracownika i zasady BYOD

Najwięcej problemów pojawia się wtedy, gdy służbowa komunikacja odbywa się na prywatnym telefonie bez żadnych ustalonych zasad. Firma nie kontroluje wtedy konfiguracji urządzenia, wykonywania kopii, aktualizacji systemu, połączonych komputerów ani usunięcia danych po zakończeniu współpracy.

Jeżeli organizacja dopuszcza BYOD, powinna określić co najmniej:

jakie urządzenia mogą być używane;
jakie dane wolno przesyłać;
czy wymagany jest oddzielny profil służbowy;
jakie zabezpieczenia musi mieć telefon;
czy załączniki mogą być zapisywane w pamięci;
jak zgłosić utratę urządzenia;
jak usunąć dane służbowe;
co dzieje się po zmianie stanowiska lub odejściu pracownika.

Całkowite zdalne wyczyszczenie prywatnego telefonu może być działaniem nadmiernym. Zarządzany profil służbowy powinien umożliwiać usunięcie danych firmowych bez ingerowania w prywatne zdjęcia, wiadomości i aplikacje pracownika.

Jak długo przechowywać rozmowy na WhatsApp?

RODO nie wskazuje jednego okresu przechowywania rozmów w komunikatorze. Termin zależy od celu, rodzaju sprawy, obowiązków prawnych i możliwości dochodzenia roszczeń.

Firma nie powinna zachowywać całej historii bezterminowo tylko dlatego, że aplikacja to umożliwia. Równocześnie automatyczne kasowanie wszystkich rozmów po kilku dniach może prowadzić do utraty ustaleń potrzebnych do realizacji umowy, reklamacji lub wykazania zgody marketingowej.

Bezpieczny model zakłada, że:

istotne ustalenia są przenoszone do CRM lub dokumentacji sprawy;
rozmowy pomocnicze są usuwane po ustalonym okresie;
załączniki nie pozostają bez potrzeby na urządzeniu;
pracownicy nie tworzą prywatnych archiwów;
kopie zapasowe są objęte kontrolowaną retencją;
po odejściu pracownika dostęp do konta jest odbierany;
żądania dostępu lub usunięcia obejmują również komunikator.

Wiadomości znikające mogą wspierać ograniczenie retencji, ale nie gwarantują pełnego usunięcia. Rozmówca może zrobić zrzut ekranu, zapisać załącznik albo posiadać wiadomość w kopii wykonanej przed jej zniknięciem.

UODO o nieautoryzowanym WhatsApp w firmie

W komunikacie z 22 czerwca 2026 roku UODO opisał sprawę, w której handlowcy przez wiele miesięcy korzystali z niezatwierdzonego WhatsApp na prywatnych telefonach. W rozmowach grupowych znajdowały się polecenia służbowe, skany i zdjęcia umów klientów.

Naruszenie dotyczyło co najmniej 15 osób. Administrator ustalił również, że część komunikacji odbywała się poza Europejskim Obszarem Gospodarczym. Prezes UODO stwierdził brak odpowiednich środków technicznych i organizacyjnych oraz niewłaściwą weryfikację podmiotu przetwarzającego. Podmiot, który dopuścił używanie komunikatora bez właściwych zabezpieczeń, otrzymał karę w wysokości 10 145 zł.

Problemem nie było samo zainstalowanie aplikacji. Zawiódł cały system zarządzania:

narzędzie nie zostało zatwierdzone;
nie określono dozwolonego zakresu danych;
komunikacja odbywała się na prywatnych urządzeniach;
przesyłano dokumenty klientów;
praktyka trwała przez wiele miesięcy;
procedury nie odpowiadały rzeczywistym działaniom zespołu.

W innej decyzji, DKN.5131.32.2023, UODO zakwestionował przekazanie danych lekarza za pomocą WhatsApp, którego nie uwzględniono w analizie ryzyka. Organ wskazał, że wykorzystanie takiego kanału stworzyło możliwość utraty kontroli nad danymi i ich bezpieczeństwem.

Jeżeli podobna sytuacja wystąpi w firmie, trzeba ustalić zakres ujawnionych danych, urządzenia i konta, odbiorców, kopie, okres trwania praktyki oraz możliwość dalszego dostępu. Następnie należy przeprowadzić ocenę naruszenia i udokumentować podjęte działania. W sprawach wymagających szybkiej kwalifikacji pomocne może być wsparcie przy obsłudze naruszenia ochrony danych.

Checklista bezpiecznego wdrożenia WhatsApp Business

Organizacja i dokumentacja

Określ zatwierdzone zastosowania komunikatora.
Wskaż kategorie danych, których nie wolno przesyłać.
Zaktualizuj analizę ryzyka i rejestr czynności.
Sprawdź warunki WhatsApp Business i zasady transferów.
Ustal podstawy prawne oraz sposób realizacji obowiązku informacyjnego.
Przygotuj zasady przechowywania i usuwania rozmów.

Konta i urządzenia

Używaj numeru należącego do firmy.
Korzystaj z urządzenia służbowego lub zarządzanego profilu.
Włącz blokadę telefonu i uwierzytelnianie dwuskładnikowe.
Regularnie sprawdzaj połączone urządzenia.
Ogranicz automatyczne zapisywanie załączników.
Zdecyduj, czy kopia zapasowa jest potrzebna i jak ma być szyfrowana.
Przygotuj procedurę odebrania dostępu.

Pracownicy i klienci

Przeszkol pracowników przed udostępnieniem konta.
Nie zezwalaj na przesyłanie haseł, danych szczególnych i pełnych dokumentów.
Zapewnij bezpieczny kanał do przekazywania załączników.
Informuj klientów o zasadach komunikacji i prywatności.
Zbieraj oraz rejestruj zgody na wiadomości marketingowe.
Kontroluj członkostwo w grupach pracowniczych.
Testuj reakcję na utratę telefonu i wysłanie wiadomości do niewłaściwej osoby.

Zasady powinny odpowiadać rzeczywistej praktyce zespołu. Pomóc może w tym wdrożenie zasad korzystania z komunikatorów.

Podsumowanie

WhatsApp w firmie może być zgodny z RODO, jeżeli organizacja świadomie określi jego zastosowanie, skonfiguruje konto biznesowe, ograniczy zakres danych i zachowa kontrolę nad urządzeniami oraz dostępami.

Największe ryzyko powstaje wtedy, gdy pracownicy samodzielnie tworzą grupy, przesyłają dokumenty klientów na prywatnych telefonach i traktują szyfrowanie jako pełne zabezpieczenie. Firma powinna znać rzeczywistą praktykę, a następnie objąć ją procedurą, analizą ryzyka, retencją, szkoleniami i kontrolą. Całkowity zakaz nie zawsze jest potrzebny, ale niekontrolowane korzystanie z komunikatora nie powinno być akceptowanym standardem.

FAQ – WhatsApp w firmie a RODO

Czy można kontaktować się z klientem przez WhatsApp bez jego zgody?

Jeżeli klient sam rozpoczyna rozmowę i prosi o informację dotyczącą produktu, umowy, zamówienia albo reklamacji, firma może odpowiedzieć w zakresie jego zapytania na właściwej podstawie wynikającej z RODO. Osobna zgoda jest jednak potrzebna przed wysyłaniem informacji handlowych i marketingu bezpośredniego przez WhatsApp. Samo posiadanie numeru, wcześniejszy zakup albo jednorazowa rozmowa nie oznaczają automatycznie zgody na promocje. Firma powinna rozdzielić obsługę klienta od komunikacji marketingowej.

Czy pracodawca może utworzyć grupę pracowniczą na WhatsApp?

Może, jeżeli grupa jest rzeczywiście potrzebna, jej cel został jasno określony, a zakres przetwarzanych danych jest proporcjonalny. Pracownicy powinni wiedzieć, że ich numery będą widoczne dla pozostałych uczestników. Jeżeli mają korzystać z prywatnych telefonów, firma powinna ocenić konieczność takiego rozwiązania i zapewnić alternatywę osobom, które nie chcą używać prywatnego numeru. Na grupie nie należy publikować dokumentacji kadrowej, danych o zdrowiu, wynagrodzeń, haseł ani danych klientów.

Czy pracodawca może nakazać instalację WhatsApp na prywatnym telefonie?

Takie rozwiązanie jest ryzykowne i powinno zostać ocenione także z perspektywy prawa pracy, kosztów oraz prywatności. Jeżeli aplikacja jest niezbędna do wykonywania obowiązków, bezpieczniejszym standardem jest zapewnienie telefonu służbowego albo zatwierdzonego kanału dostępnego na sprzęcie firmy. Pracodawca nie powinien zakładać, że każdy pracownik posiada odpowiednie urządzenie i zgadza się ujawnić prywatny numer współpracownikom. Wdrożenie BYOD wymaga jasnych zasad i oddzielenia danych służbowych od prywatnych.

Czy WhatsApp Business jest automatycznie zgodny z RODO?

Nie. WhatsApp Business oferuje funkcje przeznaczone dla przedsiębiorców i odpowiednie warunki przetwarzania danych, ale to firma decyduje o celach kontaktu, odbiorcach, treści wiadomości, czasie przechowywania i dostępie pracowników. Administrator musi ocenić dostawcę, transfery danych, konfigurację kopii, bezpieczeństwo urządzeń i podstawy prawne. Nawet prawidłowo skonfigurowana aplikacja nie zalegalizuje wysyłania marketingu bez zgody ani przesyłania nadmiernej ilości danych.

Co zrobić, gdy pracownik przesłał dane klienta przez prywatny WhatsApp?

Firma powinna ustalić, jakie dane wysłano, do kogo, na jakim urządzeniu, czy wiadomość lub załącznik zostały przekazane dalej oraz czy istnieją kopie zapasowe. Trzeba zabezpieczyć dostępne dowody, ograniczyć dalsze przetwarzanie i poprosić nieuprawnionego odbiorcę o usunięcie danych, jeśli jest to możliwe. Następnie administrator ocenia ryzyko dla osoby, dokumentuje zdarzenie i sprawdza, czy zachodzą przesłanki zgłoszenia naruszenia Prezesowi UODO lub zawiadomienia osoby, której dane dotyczą.