Wideokonferencje zgodne z RODO (2026): co to naprawdę wymaga (i alternatywa dla Zoom, która tłumaczy)

„Zgodność z RODO" na stronie głównej platformy wideo to niemal pusty slogan. RODO nie jest certyfikatem, który się zdaje — to zbiór obowiązków spoczywających na Tobie, administratorze danych, które dostawca albo pomaga Ci spełnić, albo po cichu zostawia na Twoim biurku. Przydatne pytanie nie brzmi: „czy to narzędzie jest zgodne z RODO?". Brzmi: „za co to narzędzie czyni mnie odpowiedzialnym i dokąd faktycznie trafiają dane z moich spotkań?"

🔒 Aktualizacja — zrobiliśmy to sami sobie. Od publikacji tego wpisu przepuściliśmy kod InterMIND przez całą poniższą listę kontrolną i zamknęliśmy każdy punkt — usuwanie danych, retencję, przetwarzanie w UE, subprocesorów — zweryfikowane w kodzie, a nie zadeklarowane na stronie. → Przeczytaj podsumowanie audytu, punkt po punkcie.

Ten wpis to wersja tego pytania w prostych słowach: lista kontrolna, którą faktycznie przechodzi inspektor ochrony danych (IOD), miejsce Zooma na tej liście (uczciwie — jest bardziej zdolny do zgodności, niż sugeruje internet) oraz to, w którym miejscu alternatywa działająca w UE zmienia odpowiedź. Jeśli interesuje Cię szerszy obraz tego, jak powinny działać spotkania w czasie rzeczywistym, zajrzyj do przewodnika głównego; ten wpis dotyczy wyłącznie warstwy ochrony danych.

Lista kontrolna w prostych słowach

Odrzuć marketing, a „wideokonferencje zgodne z RODO" sprowadzają się do siedmiu rzeczy, które możesz faktycznie zweryfikować:

1. Podpisana umowa DPA. Aneks o przetwarzaniu danych, który wskazuje dostawcę jako Twój podmiot przetwarzający, z udokumentowanymi celami i instrukcjami. Bez DPA nie ma legalnego przetwarzania — kropka.
2. Prawdziwa lista subprocesorów. Każda strona trzecia, która ma styczność z danymi ze spotkań — transkrypcja, przechowywanie, e-mail, analityka, funkcje AI — wymieniona z opisem, co robi i gdzie ma siedzibę.
3. Gdzie dane są przetwarzane w czasie działania usługi. Fizyczny region, w którym obsługiwane są Twój dźwięk, transkrypcje, nagrania i metadane. O tym głównie mówią klauzule dotyczące rezydencji danych.
4. Mechanizm transferu międzynarodowego. Jeśli jakiekolwiek dane opuszczają EOG, na jakiej podstawie prawnej? Standardowe klauzule umowne (SCC), decyzja o adekwatności albo rozwiązanie z rezydencją danych, które w ogóle unika transferu. To pytanie z wyroku Schrems II i nie znika dlatego, że strona główna głosi „zgodność".
5. Poziom bezpieczeństwa, który można audytować. ISO 27001, ISO 27701, SOC 2 — niezależne poświadczenia, a nie samodeklaracje.
6. Narzędzia do obsługi praw osób, których dane dotyczą. Czy faktycznie możesz zrealizować wnioski o dostęp, usunięcie i przenoszenie danych ze spotkań, czy tylko teoretycznie?
7. Retencja i usuwanie, nad którymi masz kontrolę. Nagrania, transkrypcje i podsumowania AI usuwane według Twojego harmonogramu, a nie domyślnych ustawień dostawcy.

Narzędzie jest „zgodne z RODO" na Twoje potrzeby tylko wtedy, gdy wszystkie siedem punktów ma konkretne odpowiedzi. Większość stron głównych nie odpowiada na żaden.

Gdzie naprawdę stoi Zoom (uczciwie)

Zoom jest bardziej zdolny do zgodności z RODO, niż sugeruje jego reputacja, i warto to rzetelnie przyznać zamiast zdobywać tanie punkty:

• Publikuje globalną umowę DPA z wbudowanymi standardowymi klauzulami umownymi UE z 2021 roku.
• Oferuje rezydencję danych w UE — „Zoom EU Infrastructure" — dla klientów Enterprise i Education, obejmującą Meetings, Webinar, Chat, Phone i Contact Center.
• Posiada ISO 27001 oraz, od lutego 2026, ISO 27701 (rozszerzenie dotyczące zarządzania prywatnością), a także opublikowane zabezpieczenia suwerenności dla europejskiego sektora publicznego.

Prawidłowo skonfigurowane wdrożenie Zooma we właściwym planie może więc spełnić większość listy. Uczciwe zastrzeżenia dotyczą ustawień domyślnych i siedziby, a nie możliwości:

• Rezydencja w UE to dodatek zależny od planu i konfiguracji, a nie ustawienie domyślne. Jest dostępna w Enterprise/Education i trzeba ją włączyć. Plan bezpłatny i niższe plany płatne jej nie obejmują. „Używamy Zooma" i „używamy Zooma skonfigurowanego pod rezydencję w UE" to różne fakty zakupowe.
• Zoom to firma z siedzibą w USA. Nawet przy SCC i rezydencji w UE siedziba korporacyjna dostawcy wchodzi w zakres ocen pod kątem CLOUD Act i suwerenności. W standardowym ujęciu RODO da się to opanować za pomocą SCC; w przypadku francuskiej souveraineté numérique czy zamówień na poziomie SecNumCloud siedziba korporacyjna jest sama w sobie kryterium, a to trudniejsza rozmowa.
• Spotkanie nadal odbywa się w jednym języku. Tłumaczone napisy i AI Companion w Zoomie pomagają, ale pokój nie staje się naprawdę wielojęzyczny — takim, w którym każdy uczestnik słyszy spotkanie na żywo w swoim języku. Jeśli Twój problem ze zgodnością jest także problemem językowym (transgraniczne audyty, wielolokalizacyjne przeglądy CAPA), ta luka pozostaje nierozwiązana niezależnie od tego, gdzie leżą dane.

W skrócie: Zoom może być zgodny z RODO, gdy jest skonfigurowany w tym celu. Czy to wystarczy, zależy od tego, jak wrażliwy na kwestie suwerenności jest Twój kontrahent — i od tego, czy spotkania są wielojęzyczne.

Gdzie InterMIND stoi na liście kontrolnej

InterMIND to przestrzeń, którą gospodarz daje swojemu zespołowi i klientom, każdemu w jego własnym języku — spotkania, czat, pliki, podsumowanie. Odpowiedzi na powyższą listę są dostępne domyślnie, bez projektu konfiguracyjnego; część strukturalna, a nie tylko obiecana, to miejsce, w którym działa spotkanie — jedna linijka dla IOD, zweryfikowana na działającym wdrożeniu:

• Każdy etap przetwarzania odbywa się w UE. Aplikacja i API serwerowe na Vercel we Frankfurcie (fra1); serwer WebSocket spotkań na Fly w Paryżu (cdg); dane aplikacji w Neon Postgres na AWS we Frankfurcie (eu-central-1); nagrania na Tigris, z możliwością przypięcia do UE; błędy i analityka na Sentry EU i PostHog EU; e-maile transakcyjne przez Resend w Irlandii.
• Silnik tłumaczeniowy to nasz własny kod, we Francji (OVH) — a nie amerykański model ogólnego przeznaczenia, który odsprzedajemy. Największy pojedynczy przepływ treści ze spotkań pozostaje w UE i nigdy nie dotyka zewnętrznego LLM. Tłumaczenie dokumentów trafia do DeepL w Kolonii — również firmy z UE.
• Lista subprocesorów ze szczegółami dotyczącymi siedziby korporacyjnej jest dołączana do DPA jako standardowa praktyka, a nie na żądanie.

Treści ze spotkań trafiają do jednej bramki AI, w UE, a wybiera ją organizacja. Wszystko, co jest pochodną spotkania i wymaga modelu językowego — powspotkaniowe podsumowanie AI (tematy, decyzje, action items), streszczenia dokumentów, generatywne akcje edytora notatek AI (popraw, rozwiń, uprość), Ask AI — działa na bramce AI wybranej przez Twoją organizację: domyślnie Azure OpenAI w EU Data Zone, opcjonalnie Vertex AI na wielo-regionalnym endpointcie UE lub Amazon Bedrock we Frankfurcie, każdy w naszym własnym tenancie, z zerową retencją danych i bez trenowania na treściach klientów; albo Twój własny endpoint zgodny z OpenAI. Podsumowanie po spotkaniu i akcja tłumacz w edytorze przechodzą przez tor tłumaczeniowy, a nie przez model językowy. Dostawcy stojący za hostowanymi bramkami to firmy amerykańskie prowadzące regiony w UE — piszemy o tym wprost, niczego nie ukrywając; siedziba korporacyjna to kryterium, które zamówienia na poziomie suwerenności dokładają do RODO, i dotyczy ono tego etapu dokładnie tak samo jak Zooma powyżej. Pełna mapa dostawca po dostawcy znajduje się w Gdzie naprawdę działa jedno spotkanie InterMIND, a spojrzenie z perspektywy „zbuduj czy kup" w Z czego zbudowane jest jedno spotkanie InterMIND.

Co do certyfikatów: posiadamy ISO/IEC 27001:2022 (certyfikat 26ISMS-1296, Glocert International, wydany 12 listopada 2026; certyfikat i weryfikacja w Trust Center) i nie mamy SOC 2 ani ISO 27701. Nasza odpowiedź na listę kontrolną pozostaje architektoniczna — przetwarzanie w UE, własny silnik, przejrzyści subprocesorzy, prawdziwa umowa DPA — i wolimy, żebyś to zweryfikował, niż zaufał odznace. Przepuściliśmy nasz własny kod przez dokładnie tę listę i zamknęliśmy każdy punkt w odniesieniu do kodu — raport z zamknięcia audytu, punkt po punkcie.

I to, czego ustawienia rezydencji w Zoomie dodać nie mogą: spotkanie jest wielojęzyczne z założenia — każdy uczestnik na żywo we własnym języku, w 23 językach, w głosie, czacie i notatkach, a jakość tłumaczeń jest publikowana otwarcie, zamiast być deklarowana. Jak to działa, opisujemy w przewodniku głównym; zastosowanie w spotkaniach regulowanych znajdziesz w wielojęzycznych spotkaniach dotyczących zgodności.

Lista kontrolna w tabeli

Siedem punktów w odniesieniu do dwóch narzędzi, które omawiamy szczegółowo w tym wpisie. Komórki zawierają wyłącznie to, co dokumentuje każdy dostawca (linki do Zooma w Źródłach poniżej; twierdzenia o InterMIND zweryfikowane linia po linii w podsumowaniu audytu i mapie przetwarzania) — w przypadku każdego innego dostawcy każ mu odpowiedzieć na pytania z lewej kolumny na piśmie.

FAQ

Czy Zoom jest zgodny z RODO? Może być, we właściwym planie i konfiguracji: Zoom publikuje globalną DPA z SCC UE z 2021 r., oferuje rezydencję danych w UE dla klientów Enterprise i Education oraz posiada ISO 27001 i (od lutego 2026) ISO 27701. Uczciwe zastrzeżenia: rezydencja w UE to dodatek zależny od planu i konfiguracji, a nie ustawienie domyślne, a Zoom pozostaje firmą z siedzibą w USA — da się to opanować w standardowym ujęciu RODO za pomocą SCC, ale to realne kryterium w zamówieniach na poziomie suwerenności.

Co sprawia, że narzędzie do wideokonferencji jest zgodne z RODO? Siedem rzeczy, które można zweryfikować, a nie odznaka ze strony głównej: podpisana DPA, prawdziwa lista subprocesorów, udokumentowany region przetwarzania, zgodny z prawem mechanizm transferu międzynarodowego, niezależnie audytowane bezpieczeństwo, działające narzędzia do obsługi praw osób, których dane dotyczą, oraz retencja, nad którą masz kontrolę. Dostawca jest zgodny na Twoje potrzeby, gdy wszystkie siedem punktów ma konkretne odpowiedzi na piśmie.

Czy RODO wymaga, by spotkania wideo pozostawały w UE? Nie — RODO wymaga zgodnego z prawem mechanizmu transferu (SCC, decyzja o adekwatności), gdy dane opuszczają EOG, a nie rezydencji jako takiej. Rezydencja ma znaczenie, bo całkowicie usuwa pytanie o transfer — analiza po Schrems II staje się krótka, gdy dane nigdy nie wychodzą poza UE. Na tym polega różnica między „zgodny na papierze" a „nie ma czego łatać papierami".

Które narzędzia do wideokonferencji działają w całości w UE? Poproś dowolnego dostawcę o mapę przetwarzania: region dla każdego etapu — aplikacja, API, media spotkań, baza danych, nagrania, analityka, e-mail, funkcje AI. InterMIND publikuje dokładnie to (każdy etap, dostawca po dostawcy): Vercel Frankfurt, Fly Paryż, Neon Frankfurt, silnik tłumaczeniowy na OVH we Francji, funkcje AI na bramce wybranej przez organizację, w regionie UE (domyślnie Azure OpenAI EU Data Zone). Jakie narzędzie byś nie oceniał, odpowiedzią jest mapa, a nie strona marketingowa.

Dla jakiego gospodarza to rozwiązanie

Właściciel lub kierownik organizacji liczącej 10–200 osób, której zespół lub klienci mówią w innym języku, korzystającej już z Teams lub Workspace i zakładającej przestrzeń bez działu IT. Dla takiego gospodarza lista kontrolna jest załatwiona domyślnie, a rozmowa z IOD jest krótka; reszta decyzji sprowadza się do tego, czy samo spotkanie toczy się w języku każdego uczestnika. Zamówienia publiczne na poziomie suwerenności, gdzie siedziba dostawcy sama jest częścią specyfikacji, to inna rozmowa — mówimy to wprost, zamiast przesadzać z obietnicami.

Wypróbuj, a potem przeczytaj mapę danych

• Wypróbuj demo na żywo — posłuchaj wielojęzycznego potoku na żywo podczas prawdziwego spotkania i przekonaj się, jak naprawdę wygląda „przetwarzanie w UE i wielojęzyczność". Bez rejestracji.
• InterMIND vs. Zoom — funkcja po funkcji, uczciwie.
• Gdzie naprawdę działa jedno spotkanie InterMIND — pełna mapa dostawców, razem z luką.

„Wideokonferencje zgodne z RODO" to lista kontrolna, a nie odznaka. Jakie narzędzie byś nie wybrał — nasze czy inne — każ dostawcy odpowiedzieć na piśmie na wszystkie siedem pytań. Ci, którzy potrafią, są warci Twojego czasu; ci, którzy nie potrafią, sprzedają Ci stronę główną.

— Zespół Mind.com

Źródła dotyczące Zooma: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, sprawdzone w sierpniu 2026. Oferty i plany dostawców się zmieniają; zweryfikuj aktualną konfigurację na stronach Zoom poświęconych zaufaniu. Fakty o działaniu InterMIND są zweryfikowane na działającym wdrożeniu, zgodnie z opisem we wpisie z mapą danych.