Komunikator zgodny z GDPR dla firm (2026): co dostawcy faktycznie dokumentują
„Który komunikator jest zgodny z GDPR?” to pytanie, na które żaden dostawca nie może uczciwie odpowiedzieć „my jesteśmy”. GDPR nakłada obowiązki na Ciebie, administratora: potrzebujesz umowy powierzenia przetwarzania danych (art. 28), musisz wiedzieć, gdzie dane się znajdują i czy trafiają do państwa trzeciego, a także umieć je usunąć i odpowiadać na żądania dostępu. Komunikator może sprawić, że te obowiązki będą możliwe do spełnienia — albo nie. Odznaka na stronie głównej nie mówi nic ponad to.
Dlatego ten przewodnik robi coś innego niż zwykłe zestawienia. Bierze sześć kontroli, o które i tak pyta inspektor ochrony danych, i stosuje je do dwunastu usług: komunikatorów konsumenckich, na których firmy faktycznie pracują (WhatsApp, Signal, Telegram), komunikatorów biznesowych ze Szwajcarii i Niemiec (Threema Work, Teamwire, Wire, Stackfield), platform hostowanych samodzielnie (Element, Mattermost, Rocket.Chat) oraz dwóch pakietów (Microsoft Teams, Slack). Następnie InterMIND, który budujemy — według tych samych kryteriów i tej samej zasady źródeł. Każde stwierdzenie pochodzi z publicznej dokumentacji dostawcy, sprawdzonej w sierpniu 2026, z odnośnikami na końcu.
Dołącza do nich siódma kontrola, która nigdy nie pojawia się na listach GDPR, a w międzynarodowym zespole liczy się każdego dnia: w jakim języku każdy członek czyta kanał? Komunikator, który przechowuje wiadomości tylko w oryginale, przerzuca tłumaczenie na pojedynczych użytkowników — oraz na usługi, które następnie przetwarzają dane po raz drugi.
Sześć kontroli
Niemiecki Federalny Komisarz ds. Ochrony Danych (BfDI) publikuje kryteria wyboru komunikatorów, czyli najbardziej użyteczną publiczną miarę. Szyfrowanie end-to-end definiuje jako wiadomości „szyfrowane na urządzeniu nadawcy i odszyfrowywane dopiero na urządzeniu odbiorcy”, wymienia ustawienia prywatności, takie jak dostęp do książki adresowej, widoczność profilu, potwierdzenia odczytu, analityka użycia i raportowanie błędów, oraz wymaga usunięcia konta, przy którym dane są „usuwane natychmiast”. W użyciu firmowym dochodzą do tego obowiązki z art. 28. Razem:
- Umowa powierzenia przetwarzania danych (DPA). Czy dostawca ją oferuje — i czy jest w jego dokumentacji?
- Podmiot i lokalizacja serwerów. Kto jest Twoją stroną umowy, gdzie znajdują się dane, czy dochodzi do transferu do państwa trzeciego?
- Szyfrowanie. End-to-end czy transportowe i po stronie serwera? Oba podejścia są uprawnione — trzeba je tylko nazwać.
- Metadane i książka adresowa. Czy książka adresowa jest wgrywana? Jakie dane o użyciu i urządzeniu są zbierane i komu są udostępniane?
- Usuwanie i retencja. Gdzie żyje historia, kto ją usuwa, co dzieje się, gdy pracownik odchodzi?
- Podprocesory. Czy są opublikowane — wraz z usługami używanymi do funkcji AI i tłumaczenia?
Plus siódma: język per członek.