WhatsApp i Messenger w przedszkolu a RODO

Ostatnia aktualizacja: 03.11.2026

Krótka odpowiedź: Żaden przepis nie zakazuje wprost używania WhatsAppa ani Messengera w przedszkolu. Odpowiedzialność za dane dzieci i rodziców ponosi jednak przedszkole jako administrator danych, także wtedy, gdy grupę założył nauczyciel. Na prywatnym komunikatorze przedszkole nie zawrze umowy powierzenia, nie kontroluje, kto zapisuje zdjęcia, a dane techniczne trafiają także do USA. Dlatego komunikator może co najwyżej uzupełniać oficjalny kanał i tylko w sprawach organizacyjnych. Informacje o zdrowiu, zachowaniu i postępach dziecka oraz zdjęcia dzieci powinny trafiać do rodziców kanałem, za który przedszkole odpowiada i który kontroluje.

Poniżej wyjaśniamy, skąd biorą się te zasady i jak je wdrożyć w praktyce.

Czy przedszkole może używać WhatsAppa i Messengera?

RODO nie wymienia konkretnych aplikacji. Nie znaleźliśmy też polskiego przepisu, który zakazywałby przedszkolom komunikatorów. Przepisy określają za to zasady, które każdy kanał musi spełnić: legalny cel, minimalny zakres danych, bezpieczeństwo i rozliczalność.

Urząd Ochrony Danych Osobowych (UODO) w poradniku dla placówek oświatowych dopuszcza np. kontakt e-mailowy z rodzicami, jeśli rodzice się zgodzą, a placówka zastosuje zabezpieczenia z art. 32 RODO. Urząd dodaje, że „istnieją bezpieczniejsze kanały komunikacji z rodzicami”, i jako przykład podaje e-dziennik. W poradniku o zdalnym nauczaniu UODO zaznacza, że podstawowa komunikacja powinna iść przez narzędzia wdrożone przez placówkę.

W praktyce trzeba rozróżnić trzy sytuacje:

Grupa rodziców bez udziału przedszkola. Rodzice sami zakładają czat i rozmawiają prywatnie. Taka korespondencja może mieścić się w wyłączeniu dla czynności „czysto osobistych lub domowych” (art. 2 ust. 2 lit. c RODO). Przedszkole nie jest wtedy administratorem tej grupy.
Grupa z udziałem nauczyciela. Jeśli wychowawca pisze w niej w ramach pracy, przetwarza dane w imieniu przedszkola. Za taką komunikację odpowiada placówka.
Grupa jako oficjalny kanał przedszkola. To wariant najbardziej ryzykowny. Przedszkole wybiera wtedy narzędzie, na którego warunki nie ma wpływu, i często faktycznie zmusza rodziców do jego instalacji.

Publiczne przedszkola opisują to w procedurach. Według procedury Miejskiego Przedszkola Publicznego nr 4 w Bolesławcu grupa WhatsApp rodziców nie jest oficjalnym kanałem przedszkola i służy tylko do informacji organizacyjnych. Członkiem może być wyłącznie prawny opiekun dziecka z danej grupy, a udział jest dobrowolny.

Kto odpowiada za dane w grupie na komunikatorze

Administratorem jest podmiot, który ustala cele i sposoby przetwarzania danych (art. 4 pkt 7 RODO). W przedszkolu publicznym jest nim przedszkole, w imieniu którego działa dyrektor. W przedszkolu niepublicznym administratorem jest zwykle osoba lub spółka prowadząca placówkę.

Odpowiedzialności nie przenosi się na nauczyciela, który z dobrej woli założył grupę. UODO pisze o tym wprost: „za przetwarzanie danych uczniów przy wykorzystaniu narzędzi wdrożonych samodzielnie przez nauczyciela zawsze odpowiedzialność ponosi szkoła”. Ta sama logika dotyczy przedszkola. Pracownik przetwarza dane na polecenie administratora (art. 29 RODO), a administrator musi wykazać zgodność z przepisami (art. 5 ust. 2 i art. 24).

Za naruszenia grożą kary: dla podmiotów prywatnych w granicach art. 83 RODO, a dla publicznego przedszkola do 100 000 zł (art. 102 ustawy o ochronie danych osobowych). Do tego dochodzą roszczenia cywilne rodziców.

UODO kontroluje także małe placówki. W 2020 r. ukarał prowadzącą niepubliczny żłobek i przedszkole kwotą 5 000 zł za brak współpracy przy wyjaśnianiu naruszenia (decyzja DKE.561.2.2020). Sprawa nie dotyczyła komunikatora.

Które przepisy RODO mają tu znaczenie

Przepis	Co oznacza dla komunikacji z rodzicami
Art. 5 – zasady	Tylko dane niezbędne do celu, poufność i rozliczalność. Numery rodziców widoczne dla całej grupy to już ujawnienie danych.
Art. 6 – podstawa prawna	Informacje organizacyjne wynikają zwykle z umowy z rodzicem lub z zadań przedszkola. UODO wskazuje, że na kontakt e-mailowy potrzebna jest zgoda rodziców, a na publikację wizerunku odrębna zgoda.
Art. 9 – dane szczególne	Alergie, choroby, orzeczenia i opinie psychologiczne to dane o zdrowiu. Nie powinny trafiać do czatu grupowego.
Art. 24 i 32 – bezpieczeństwo	Administrator dobiera zabezpieczenia do ryzyka, a przy danych dzieci ryzyko jest wyższe.
Art. 28 – umowa powierzenia	Dostawca, który przetwarza dane na zlecenie przedszkola, musi mieć z nim umowę powierzenia.
Art. 33 – naruszenia	Wyciek danych, np. przesłanie zdjęć do niewłaściwej grupy, trzeba ocenić i w razie ryzyka zgłosić do UODO w ciągu 72 godzin.
Art. 44–46 – transfer poza EOG	Przekazanie danych do USA wymaga podstawy, np. decyzji o adekwatności lub standardowych klauzul umownych.

WhatsApp i Messenger: kto jest administratorem i gdzie trafiają dane

W Europie WhatsAppa świadczy WhatsApp Ireland Limited. Messenger działa na warunkach Meta, a administratorem danych użytkowników w UE jest Meta Platforms Ireland Limited. Obie firmy są administratorami danych swoich użytkowników i działają na podstawie własnych regulaminów, a nie na zlecenie przedszkola.

Wynikają z tego trzy praktyczne konsekwencje:

Brak umowy powierzenia. Przedszkole nie zawiera z operatorem komunikatora dla użytkowników prywatnych umowy z art. 28 RODO. Nie ustala więc, jak długo dane są przechowywane, kto ma do nich dostęp ani jak są zabezpieczone.
Treść a metadane. WhatsApp deklaruje szyfrowanie end-to-end wiadomości, zdjęć i połączeń. Według polityki prywatności bez takiego szyfrowania pozostają jednak m.in. zdjęcie profilowe oraz nazwy i opisy grup, a WhatsApp zbiera też dane o korzystaniu z usługi i przynależności do grup. Po opuszczeniu grupy numer jest widoczny na liście byłych uczestników do 60 dni.
Transfer do USA. WhatsApp podaje, że przekazuje dane do USA. Opiera się przy tym na ramach ochrony danych UE–USA (Data Privacy Framework) i na standardowych klauzulach umownych.

Decyzja Komisji Europejskiej o adekwatności ram UE–USA (2023/1795) obowiązuje. Sąd Unii Europejskiej oddalił skargę na nią 3 września 2025 r. (sprawa T-553/23 Latombe). Skarżący odwołał się do Trybunału Sprawiedliwości (sprawa C-703/25 P). Według stanu na początek listopada 2026 r. sprawa jest w toku, więc podstawa transferów może się jeszcze zmienić.

Z WhatsAppa oraz z Facebooka i Messengera można samodzielnie korzystać od 13 lat. Przedszkolaki nie są więc użytkownikami, ale ich zdjęcia i informacje o nich trafiają do usługi przez dorosłych. Polityka WhatsAppa przypomina też, że każdy odbiorca może zapisać lub przesłać dalej to, co dostał.

Prywatne telefony nauczycieli

RODO nie zabrania nauczycielowi używania prywatnego telefonu do pracy. W poradniku o zdalnym nauczaniu UODO dopuszcza prywatny sprzęt, jeśli jest odpowiednio zabezpieczony, a nauczyciel stosuje procedury placówki. Problem leży gdzie indziej:

Numer nauczyciela staje się publiczny. W grupie wszyscy widzą numer wychowawcy, a on nie może się od tego odciąć po pracy. UODO pisze, że nauczyciele nie powinni być zmuszani przez dyrektorów do używania prywatnego e-maila. Tę samą zasadę warto stosować do numeru telefonu.
Dane zostają w telefonie. Zdjęcia dzieci trafiają do galerii i kopii w chmurze, a zgubienie niezabezpieczonego telefonu może być naruszeniem do zgłoszenia.

Publiczne przedszkola regulują to w procedurach. Na przykład w Przedszkolu Miejskim nr 2 w Świętochłowicach kontakt z nauczycielem przez prywatny numer odbywa się „tylko i wyłącznie za zgodą, i na zasadach przez niego ustalonych”.

Jeśli nauczyciele używają telefonów, minimum to blokada ekranu, wyłączony automatyczny zapis zdjęć z komunikatora i brak synchronizacji zdjęć dzieci z prywatną chmurą. Najprościej jednak dać im służbowe narzędzie, w którym nie podają numeru.

Zdjęcia dzieci w grupie WhatsApp a wizerunek

Wizerunek dziecka jest chroniony jako dobro osobiste (art. 23 i 24 Kodeksu cywilnego) i jako dana osobowa, gdy dziecko da się rozpoznać. Na jego rozpowszechnianie potrzebne jest zezwolenie (art. 81 ust. 1 prawa autorskiego), które za dziecko wydaje rodzic.

Według poradnika UODO zgoda nie może być ogólna. Musi określać, jakie dane i w jakim celu przedszkole udostępnia. Na publikację wizerunku potrzebna jest odrębna zgoda, a rodzic może ją w każdej chwili wycofać (art. 7 ust. 3 RODO). Zgody nie wymaga rozpowszechnianie wizerunku osoby, która jest „jedynie szczegółem całości”, np. zgromadzenia lub publicznej imprezy (art. 81 ust. 2 pkt 2). Zdjęcie całej sali na festynie to coś innego niż portret jednego dziecka.

Udostępnienie zdjęcia w czacie z kilkudziesięcioma osobami może zostać uznane za rozpowszechnianie wizerunku. Po wysłaniu przedszkole traci kontrolę nad zdjęciem.

Na kierunek zmian wskazują też nowe przepisy:

Standardy ochrony małoletnich. Każde przedszkole musi je mieć (art. 22b ustawy o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich). Muszą określać m.in. zasady korzystania z urządzeń z dostępem do internetu i ochrony dzieci przed zagrożeniami w sieci (art. 22c ust. 2). Zasady fotografowania i publikowania zdjęć dzieci dobrze jest opisać właśnie tam.
Żłobki i kluby dziecięce. Nowelizacja ustawy o opiece nad dziećmi do lat 3 (Dz.U. 2026 poz. 1123) wprowadza od 1 września 2027 r. zakaz publicznego udostępniania wizerunku dziecka, nawet za zgodą rodzica. Udostępnienie zdjęć wyłącznie rodzicom dzieci z tej samej placówki nie jest w tej ustawie traktowane jako publiczne. Przepis nie dotyczy przedszkoli, ale pokazuje, że ustawodawca stawia na kanały zamknięte dla rodziców danej placówki.

Co wolno, a czego unikać: tabela

Sytuacja	Ocena	Warunek lub lepsza praktyka
Rodzice prowadzą własną grupę bez udziału przedszkola	Dopuszczalne	Przedszkole nie zarządza grupą i nie przekazuje do niej danych dzieci.
Przypomnienie o wycieczce lub zebraniu	Dopuszczalne przy zasadach	Treść ogólna, bez nazwisk dzieci. Ta sama informacja powinna być też w oficjalnym kanale.
„W grupie pojawiły się wszy, prosimy o sprawdzenie głów”	Dopuszczalne	Bez wskazywania, którego dziecka dotyczy.
„Zosia ma dziś gorączkę i wymiotowała”	Unikać	To dane o zdrowiu (art. 9). Informację przekazuje się indywidualnie rodzicom Zosi.
Uwagi o zachowaniu lub rozwoju dziecka	Unikać	Rozmowa indywidualna albo wiadomość prywatna w kanale przedszkola.
Zdjęcia z zajęć wrzucane do czatu	Wysokie ryzyko	Zamknięta galeria z kontrolą zgód i pobierania.
Obowiązek instalacji komunikatora przez rodziców	Unikać	Udział w grupie musi być dobrowolny, a informacje powinny być dostępne także inną drogą.
Nauczyciel podaje prywatny numer rodzicom	Tylko za jego zgodą	Lepiej użyć służbowego kanału bez ujawniania numerów.

Checklista dla dyrektora

Inwentaryzacja. Spisać wszystkie grupy na komunikatorach, w których uczestniczą pracownicy: nazwa, kto jest administratorem, kto należy do grupy.
Oficjalny kanał. Wskazać w statucie lub regulaminie, którędy przedszkole przekazuje informacje. W przedszkolu publicznym statut musi określać formy współdziałania z rodzicami (art. 102 ust. 1 pkt 7 Prawa oświatowego).
Rejestr czynności. Dopisać komunikację z rodzicami do rejestru czynności przetwarzania.
Umowa powierzenia. Z dostawcą aplikacji, e-dziennika czy poczty podpisać umowę z art. 28 RODO. Sprawdzić, gdzie są serwery i czy dane trafiają poza EOG.
Zgody. Zebrać osobne zgody na wizerunek dla każdego kanału (strona, media społecznościowe, galeria dla rodziców) tak, by nauczyciel wiedział, które dziecko można fotografować.
Standardy ochrony małoletnich. Dopisać zasady fotografowania, używania telefonów i udostępniania zdjęć.
Upoważnienia i szkolenie. Nadać pracownikom upoważnienia i przeszkolić ich z zasad komunikacji.
Zabezpieczenie telefonów. Jeśli nauczyciele używają prywatnych urządzeń, opisać minimum zabezpieczeń i zasady usuwania danych.
Procedura naruszeń. Ustalić, kto ocenia incydent, np. zdjęcie wysłane do złej grupy, i kto zgłasza go do UODO w ciągu 72 godzin.
Inspektor ochrony danych. Przedszkole publiczne jako podmiot publiczny musi wyznaczyć IOD (art. 37 ust. 1 lit. a RODO). Warto skonsultować z nim regulamin komunikacji.

Regulamin komunikacji z rodzicami: przykładowy konspekt

Konspekt do dostosowania do statutu i procedur placówki:

Postanowienia ogólne. Cel i związek ze statutem, polityką ochrony danych i standardami ochrony małoletnich.
Oficjalne kanały. Aplikacja lub e-dziennik, telefon do sekretariatu, e-mail placówki i spotkania. Wiążące komunikaty przedszkole publikuje tylko tam.
Rodzaje informacji i właściwy kanał. Sprawy organizacyjne trafiają do ogłoszeń dla grupy lub placówki. Sprawy dotyczące jednego dziecka, w tym zdrowie, zachowanie i rozwój, omawia się wyłącznie indywidualnie.
Godziny i czas odpowiedzi. Kiedy pracownicy odpowiadają na wiadomości. Pilne sprawy załatwia się telefonicznie przez sekretariat.
Zdjęcia i nagrania. Kto może fotografować, gdzie publikuje się zdjęcia, jak respektuje się brak zgody i zakaz dalszego udostępniania przez rodziców.
Grupy rodziców na komunikatorach. Informacja, że nie są kanałem przedszkola, oraz warunki ewentualnego udziału nauczyciela.
Prywatne dane pracowników. Zakaz wymagania prywatnych numerów i kontaktów poza godzinami pracy.
Bezpieczeństwo. Logowanie, ochrona urządzeń i zgłaszanie pomyłek, np. wiadomości wysłanej do złej osoby.
Prawa rodziców. Klauzula informacyjna (art. 13 RODO) i kontakt do inspektora ochrony danych.
Postanowienia końcowe. Data wejścia w życie, sposób zapoznania rodziców i pracowników oraz przegląd raz w roku.

Jak przenieść rodziców do aplikacji przedszkola

Zmiana kanału udaje się, gdy rodzice od pierwszego dnia dostają tam więcej niż na czacie. Przykładowy plan na 6 tygodni:

Tydzień 1: przygotowanie. Wybór narzędzia, umowa powierzenia, listy dzieci i grup, konta nauczycieli.
Tydzień 2: zapowiedź. List do rodziców z wyjaśnieniem, dlaczego przedszkole zmienia kanał: ochrona zdjęć dzieci, prywatność numerów, wszystkie informacje w jednym miejscu. Do tego krótka instrukcja instalacji.
Tygodnie 3–4: równoległe działanie. Ważne komunikaty trafiają tylko do aplikacji, a na czacie co najwyżej pojawia się odesłanie do niej. Zdjęcia trafiają wyłącznie do galerii w aplikacji.
Tydzień 5: domknięcie. Sprawdzenie, którzy rodzice jeszcze się nie zalogowali, i indywidualny kontakt z nimi. Dla rodziców bez smartfona inna droga, np. e-mail lub wydruk.
Tydzień 6: wyjście nauczycieli z grup. Wychowawcy opuszczają grupy prowadzone przez rodziców, a grupy założone przez przedszkole zostają zamknięte. Rodzice mogą dalej prowadzić własny czat prywatnie.

Najczęstszy błąd to dwa kanały bez daty końca. Jeśli ważne informacje nadal pojawiają się na czacie, rodzice nie mają powodu instalować aplikacji.

Najczęściej zadawane pytania

Czy RODO zakazuje grup na WhatsAppie w przedszkolu?

Nie wprost. Przedszkole jako administrator musi jednak wykazać, że dane są bezpieczne, a na prywatnym komunikatorze jest to trudne. Bezpieczniej traktować taką grupę wyłącznie jako dodatek do oficjalnego kanału i tylko w sprawach organizacyjnych.

Czy nauczyciel może być administratorem grupy rodziców?

Może, jeśli zgodzi się dyrektor i jeśli opiszą to zasady placówki. Pisząc w grupie w ramach pracy, nauczyciel działa jednak w imieniu przedszkola, a odpowiedzialność za dane ponosi placówka. Dlatego potrzebne są jasne reguły: tylko informacje organizacyjne, bez danych o zdrowiu i bez zdjęć dzieci.

Czy można wysyłać zdjęcia dzieci na grupę WhatsApp?

To ryzykowne. Na rozpowszechnianie wizerunku dziecka potrzebna jest konkretna zgoda rodzica, a przedszkole nie kontroluje, kto zapisuje zdjęcia i komu je przesyła. Bezpieczniejsza jest zamknięta galeria, która uwzględnia zgody i pozwala wyłączyć pobieranie.

Czy dyrektor może wymagać, by nauczyciele podali rodzicom prywatne numery?

Nie powinien. UODO wskazuje, że nauczyciele nie powinni być zmuszani do używania prywatnego e-maila w kontaktach z rodzicami, a ta sama logika dotyczy numeru telefonu. Kontakt przez prywatny numer powinien być możliwy tylko za zgodą nauczyciela i na jego warunkach. Lepszym rozwiązaniem jest służbowe narzędzie, w którym numery nie są widoczne.

Czy rodzice mogą mieć własną grupę na WhatsAppie?

Tak. Prywatna rozmowa rodziców, prowadzona bez udziału przedszkola, może mieścić się w wyłączeniu dla działań czysto osobistych z art. 2 ust. 2 lit. c RODO. Przedszkole nie powinno jednak przekazywać do niej danych dzieci ani traktować jej jako swojego kanału.

Czy komunikacja przez Messengera jest bezpieczniejsza niż przez WhatsAppa?

Z punktu widzenia przedszkola problem jest ten sam. Administratorem danych użytkowników w UE jest Meta Platforms Ireland Limited, która działa na podstawie własnego regulaminu, a nie na zlecenie placówki. Przedszkole nie zawrze z nią umowy powierzenia i nie kontroluje, co dzieje się z danymi.

Co zrobić, gdy zdjęcie dziecka trafiło do niewłaściwej grupy?

Trzeba od razu usunąć wiadomość, poprosić odbiorców o usunięcie zdjęcia i odnotować incydent. Jeśli istnieje ryzyko dla praw dziecka, przedszkole zgłasza naruszenie do UODO w ciągu 72 godzin (art. 33 RODO).

Artykuł ma charakter informacyjny i przedstawia stan prawny na 03.11.2026 r. Nie stanowi porady prawnej. Szczegółowe rozwiązania dla swojej placówki warto skonsultować z inspektorem ochrony danych lub prawnikiem.

Jak może pomóc Kidogo

Kidogo pozwala prowadzić komunikację z rodzicami bez prywatnych komunikatorów:

Wiadomości i ogłoszenia w jednym miejscu. W module Komunikacja z rodzicami można napisać do jednego rodzica, grupy lub całej placówki. Rodzic dostaje powiadomienie push, a przy każdej wiadomości i ogłoszeniu widać, kto je przeczytał.
Prywatne numery zostają prywatne. Rodzice i nauczyciele piszą do siebie w aplikacji bez podawania numerów telefonu, a wiadomości nie trafiają na prywatne komunikatory.
Zdjęcia tylko dla właściwych rodziców. Galeria zdjęć jest przypisana do grup, więc rodzice widzą zdjęcia tylko swojego dziecka i jego grupy. Jeśli rodzic nie wyraził zgody na zdjęcia, system automatycznie je ukrywa. Pobieranie można wyłączyć dla każdej galerii osobno.
Zgody bez papieru. W formularzach można zbierać zgody RODO i podpisy elektroniczne oraz sprawdzić, kto jeszcze nie odpowiedział.
Dane w UE i umowa powierzenia. Dane są przechowywane na serwerach w Unii Europejskiej i szyfrowane, a transmisja odbywa się przez TLS. Zgodnie z regulaminem placówka pozostaje administratorem danych, a Kidogo przetwarza je jako podmiot przetwarzający na podstawie umowy powierzenia (art. 28 RODO). Szczegóły opisuje polityka prywatności.
Koszt. Do 20 dzieci za darmo, potem od 149 zł netto miesięcznie, a pierwsze 6 miesięcy bez opłat. Szczegóły są w cenniku.