Dane zdrowotne przedszkolaków na WhatsApp. „Konsekwencje dyscyplinarne”

14 sierpnia Łódzka Fundacja Rehabilitacji „Kamień milowy” – administrator danych osobowych Przedszkola Specjalnego „Milowe ludki” – poinformowała o naruszeniu ochrony danych w tej placówce.

„W dniu 13.07.2026 r. potwierdzono, że na prywatnych urządzeniach pracowników, bez wiedzy i zgody Administratora, prowadzona była grupa w komunikatorze WhatsApp (pomimo wcześniejszych zapewnień o braku takich grup i przeprowadzanych szkoleń z zakresu m. in. RODO)” – czytamy w komunikacie.

Grupa funkcjonowała przez niecałe dwa lata (od września 2024 roku do lipca 2026 roku) oraz miała zostać stworzona do wymiany informacji odnośnie zamawiania obiadów przez członków grupy.

Problem w tym, że na Whatsappie dzielono się informacjami, które nigdy nie powinny trafić do środowiska bez nadzoru administratora danych.

Dane zdrowotne na WhatsApp

W zawiadomieniu wskazano, że naruszenie dotyczy m.in. poniższych rodzajów danych:

• imiona i nazwiska;
•  zdjęcia dokumentów;
• informacje o stanie zdrowia podopiecznych - kody ICD-10 (międzynarodowa klasyfikacja chorób – przyp. red.);
•  opinie o zachowaniu;
•  wizerunki;
•  informacje o relacjach z opiekunami;
•  oceny pracy pracowników i współpracowników.

Działania po zdarzeniu

Jednym z najpoważniejszych zagrożeń, zarówno dla dzieci oraz ich opiekunów, jest możliwość „wykorzystania informacji o sytuacji rodzinnej lub zdrowotnej przez osoby nieuprawnione”.

Grupa została zlikwidowana. Co ważne – w przypadku osób odpowiedzialnych za incydent, podjęto decyzję o wyciągnięciu konsekwencji dyscyplinarnych (zgodnie z rodzajem umowy).

wprowadzono blokady portów i uniemożliwiono kopiowanie plików na służbowych urządzeniach (...). wprowadzono bezwzględny zakaz używania prywatnych urządzeń na terenie Placówki oraz planowane jest wdrożenie kontroli wejść/wyjść od strony wewnętrznej organizacji
Łódzka Fundacja Rehabilitacji KAMIEŃ MILOWY o działaniach następczych

Czego nas uczy naruszenie?

Warto podkreślić, że administrator danych – zgodnie z komunikatem – nie miał świadomości o istnieniu grupy, gdzie przetwarzane są dane osobowe przedszkolaków.

Niezwłoczne działanie administratora wraz z publicznym informowaniem, mimo „wcześniejszych zapewnień o braku takich grup” oraz uprzednim przeprowadzaniem szkoleń z ochrony danych, zasługuje na pochwałę.

Pamiętajmy, że WhatsApp czy Messenger nie są komunikatorami przeznaczonymi do służbowych zastosowań. Pokazują to liczne decyzje Prezesa Urzędu Ochrony Danych Osobowych, dotyczące:

• przekazania danych lekarza WhatsAppem (DKN.5131.32.2023);
• przetwarzania danych z umów w oparciu o WhatsAppa (DKN.5131.7.2022);
• przesłania Messengerem listy adresów osób przebywających na kwarantannie (DKN.5101.25.2020).

Dane przetwarzane komunikatorach nie powinny być traktowane z założenia jako bezpieczne, co pokazuje m.in. niedawna fala przejęć kont na WhatsApp.