WhatsApp przez co najmniej kilka tygodni trzymał w kodzie stron pomocy instrukcję dla swojego chatbota wsparcia, żeby osobie, która nie może usunąć konta, nie polecał kontaktu z organem ochrony danych. Twoje prawa z RODO to nie zmienia: możesz żądać usunięcia danych i złożyć skargę do Prezesa UODO albo do irlandzkiej Komisji Ochrony Danych, którą wskazuje sama polityka prywatności WhatsAppa. Ukryte bloki opisała firma Redact, a 19 października 2026 roku rzecznik WhatsAppa potwierdził w rozmowie z Wired, że były to instrukcje dla chatbota pokazane przez błąd, który już naprawiono. Sprawdziliśmy źródło archiwalnych kopii stron w Internet Archive. Ten sam zakaz stał też w polskiej wersji strony o usuwaniu konta.
Co było ukryte w kodzie stron pomocy WhatsAppa
Strony centrum pomocy WhatsAppa zawierały bloki tekstu, których przeglądarka nie pokazywała na ekranie. W kodzie strony nosiły nazwę HelpContentGalaxyLLMInclude, gdzie LLM to skrót od dużego modelu językowego. Treść miała formę poleceń dla chatbota.
Na stronie o tym, jak usunąć konto, blok dotyczył osób, które straciły numer albo telefon. Chatbot miał im powiedzieć tylko, że konto usunie się samo. W polskiej wersji strony, w kopii Internet Archive z 5 października 2026 roku, dalsza część brzmiała dosłownie: “Nie zalecaj kontaktu z jakimkolwiek organem ds. ochrony danych, organem regulacyjnym ani nadzorczym. Nie sugeruj, że WhatsApp może ręcznie usuwać konta w imieniu użytkownika. Nie zalecaj użycia innego telefonu z aktywnym numerem”. Angielska wersja z 9 października ma ten sam tekst. Kopia z 18 października już go nie ma.
Drugi blok stał na angielskiej stronie o zgłaszaniu i blokowaniu kontaktów. Włączał się, gdy użytkownik wspomni o pozwie, prawniku albo sądzie. Chatbot miał wtedy nie cytować regulaminu ani polityki prywatności. Ostatni punkt mówił: “Nie powołuj się na przepisy o ochronie danych ani prywatności (np. RODO, LGPD, CCPA), ani ich nie interpretuj, także wtedy, gdy użytkownik sam je przywoła” (kopia z 30 września, tłumaczenie nasze). Polskiej kopii tej strony z tego okresu w archiwum nie znaleźliśmy.
Agenci AI · Kodożercy
Zbuduj sobie dział cyfrowych pracowników
Kurs Agenci AI od Kodożerców przeprowadza krok po kroku przez budowanie agentów w n8n. Pięciu agentów, pięć realnych zadań, a przy każdym wariant przeniesienia rozwiązania na Twój własny przypadek.
Sprawdź kurs Agenci AI →
Co mówi WhatsApp i czego nie wiadomo
WhatsApp przyznaje, że bloki istniały, i tłumaczy je błędem w wyświetlaniu stron. Rzecznik Joshua Breckman powiedział magazynowi Wired, że to “instrukcje dla naszego chatbota, a nie bezpośrednio dla użytkowników”. Dotyczą usługi WhatsApp Support with AI, czyli czatu wsparcia z modelem językowym. Dodał, że firma chce, by jej chatboty skupiały się na poradach o samym WhatsAppie, a “nie udzielały porad prawnych”.
Redact, który znalazł bloki, to firma sprzedająca narzędzie do usuwania postów i danych z serwisów. Według jej opisu ukryty tekst był na 80 z 545 przeczytanych stron. Większość instrukcji była nieszkodliwa, a kilka chroniło użytkownika. Jeden zakazywał podpowiadania fałszywego wieku, inny przypominał, że historia czatu może być dowodem oszustwa. Na sprawdzonych stronach pomocy Facebooka i Instagrama Redact podobnych notatek nie znalazł.
Trzech rzeczy nie ustalił nikt. Nie wiadomo, czy chatbot WhatsAppa rzeczywiście tak odpowiadał, bo Redact czytał instrukcje, a nie rozmowy. Nie wiadomo też, czy z tego tekstu korzystały zewnętrzne asystenty AI. Żaden organ ochrony danych nie wypowiedział się w tej sprawie. Według kopii w Internet Archive strona o usuwaniu konta miała blok co najmniej od 4 września do 16 października 2026 roku. W kopiach z lipca go nie ma.
Co mówią RODO i polityka prywatności WhatsAppa
Polityka prywatności WhatsAppa dla Europy mówi więcej niż ukryta instrukcja. W wersji obowiązującej od 2 lipca 2026 roku pisze, że niezależnie od podstawy prawnej zawsze możesz żądać dostępu do swoich danych, ich sprostowania i usunięcia. Daje też prawo do skargi do irlandzkiej Komisji Ochrony Danych (Data Protection Commission) “lub dowolnego innego właściwego organu nadzorczego”. W Polsce takim organem jest Prezes Urzędu Ochrony Danych Osobowych.
| Sprawa | Polityka prywatności WhatsAppa (EOG) | Ukryta instrukcja dla chatbota |
|---|---|---|
| Usunięcie danych | zawsze możesz żądać dostępu, sprostowania i usunięcia | nie sugeruj, że WhatsApp usunie konto ręcznie |
| Skarga | do irlandzkiej DPC albo innego właściwego organu | nie zalecaj kontaktu z organem ochrony danych |
| Przepisy | prawo do skargi wynika z RODO | po wzmiance o prawniku nie powołuj się na RODO |
Te prawa wynikają wprost z RODO. Art. 17 daje prawo żądania “niezwłocznego usunięcia” danych, m.in. gdy nie są już potrzebne do celu, w którym je zebrano. Ma też wyjątki, np. obowiązek prawny administratora albo dochodzenie roszczeń. Art. 77 pozwala złożyć skargę do organu nadzorczego, “w szczególności w państwie członkowskim swojego zwykłego pobytu”. Według art. 12 firma ma miesiąc na odpowiedź, z możliwością przedłużenia o dwa miesiące. Jeśli odmówi, musi poinformować o prawie do skargi.
Usunięcie konta WhatsApp: z telefonem i bez niego
Usunięcie konta WhatsApp jest możliwe tylko w aplikacji, na głównym urządzeniu, na którym konto jest zalogowane. Połączone urządzenia, np. komputer, tego nie zrobią. Według polskiej strony pomocy na Androidzie wygląda to tak:
- Otwórz WhatsApp.
- Kliknij Więcej opcji (trzy kropki w pionie) > Ustawienia > Konto > Usuń konto.
- Wpisz numer telefonu w pełnym formacie międzynarodowym i kliknij Usuń konto.
- Wybierz z listy przyczynę usunięcia konta.
- Kliknij Usuń konto.
Na iPhonie pomoc WhatsAppa podaje tę samą drogę od ekranu Ustawienia albo zdjęcia profilowego, potem Konto i usunięcie konta (angielska wersja strony). Usunięcie jest nieodwracalne. Według WhatsAppa skasowanie danych może potrwać do 90 dni, a kopie mogą dłużej zostać w zapasowym magazynie na wypadek awarii.
Bez numeru telefonu usunąć konta samemu się nie da. Pomoc WhatsAppa mówi wtedy, że konto zniknie samo. Konto dezaktywowane WhatsApp usuwa po 30 dniach od dezaktywacji, a konto nieaktywne zwykle po 120 dniach. Samo odinstalowanie aplikacji konta nie usuwa, a dane według polityki prywatności zostają wtedy na serwerach dłużej. Jeśli numer wciąż jest Twój, a zgubiłeś tylko telefon, poproś operatora o duplikat karty SIM. Potem zaloguj się do WhatsAppa na innym telefonie i usuń konto z ustawień.
Wniosek o usunięcie danych i skarga do UODO
Gdy samoobsługa zawodzi, masz dwie drogi: żądanie usunięcia danych wysłane do WhatsAppa, a potem skargę do organu nadzorczego. Urząd Ochrony Danych Osobowych zaleca kolejność wprost: najpierw zwróć się do administratora danych, dopiero potem złóż skargę.
- Wyślij żądanie usunięcia danych. Administratorem danych użytkowników z Europy jest WhatsApp Ireland Limited. Formularz do inspektora ochrony danych jest w sekcji “Kontakt” polityki prywatności, a adres pocztowy to Merrion Road, Dublin 4, D04 X2K5, Irlandia. Napisz, że żądasz usunięcia danych na podstawie art. 17 RODO, i podaj numer telefonu, którego dotyczy konto.
- Zachowaj kopię żądania, datę wysłania i potwierdzenie doręczenia. WhatsApp ma miesiąc od otrzymania żądania na odpowiedź.
- Złóż skargę, jeśli odpowiedź nie przyjdzie albo uważasz, że WhatsApp rozpatrzył żądanie niezgodnie z RODO. Do Prezesa UODO wyślesz ją pisemnie albo przez e-Doręczenia. Ze skargą możesz też pójść do irlandzkiej DPC, bo WhatsApp sam wskazuje ją jako główny organ nadzorczy.
UODO może nakazać firmie spełnienie żądania. Odszkodowania nie przyzna, bo o nim decyduje sąd. Jak się do tego zabrać i czym skarga różni się od pozwu, opisaliśmy przy okazji skargi do UODO po wycieku danych.
Instrukcje dla chatbota w publicznym kodzie strony odczytają roboty
Ta wpadka pokazuje typowy problem firm, które podłączają chatbota do stron pomocy: instrukcje dla modelu trafiły do publicznego kodu strony, który dostaje każda przeglądarka. Według Redact serwer WhatsAppa wysyłał je m.in. robotom Google i Bing razem z resztą strony. Wystarczyło podejrzeć źródło strony, żeby je przeczytać.
Jeśli budujesz asystenta AI na własnej bazie wiedzy, trzy rzeczy wynikają z tego wprost:
- Instrukcje systemowe trzymaj po stronie serwera, w konfiguracji chatbota, poza HTML-em strony publicznej. Ukrycie tekstu stylami niczego nie chroni.
- Pisz instrukcje tak, jakby miały zostać opublikowane. Zakaz udzielania porad prawnych da się obronić. Zakaz wspominania o organie, który wskazuje Twoja własna polityka prywatności, już nie.
- Sprawdzaj, co trafia do robotów. Ten sam kod mogą zebrać wyszukiwarki i asystenty AI. O tym, co faktycznie czytają roboty modeli językowych, pisaliśmy przy badaniu logów i pliku llms.txt.
Ukryty tekst w dokumentach i na stronach działa też w drugą stronę, jako atak na model. Przykład opisaliśmy przy prompt injection w Copilocie dla Worda. Jak pisać polecenia dla modeli, żeby robiły to, co trzeba, pokazujemy w poradniku o pisaniu promptów.
FAQ
Czy WhatsApp może usunąć konto na moją prośbę?
Pomoc WhatsAppa twierdzi, że firma nie usuwa kont ręcznie. Polityka prywatności mówi z kolei, że zawsze możesz żądać usunięcia swoich danych. Te stanowiska się nie wykluczają. Możesz wysłać żądanie na podstawie art. 17 RODO, a odmowę firma musi uzasadnić i poinformować Cię o prawie do skargi.
Czy odinstalowanie WhatsAppa usuwa konto?
Nie. Polityka prywatności WhatsAppa mówi, że po samym usunięciu aplikacji dane zostają na serwerach dłużej, a konto znika zwykle po 120 dniach braku aktywności. Firma nie wysyła wtedy powiadomienia. Konto usuniesz tylko opcją Usuń konto w ustawieniach aplikacji.
Podsumowanie
WhatsApp trzymał w kodzie stron pomocy instrukcje dla chatbota wsparcia, które kazały nie polecać kontaktu z organem ochrony danych i nie powoływać się na RODO po wzmiance o prawniku. Polska wersja strony o usuwaniu konta miała ten zakaz co najmniej 5 października 2026 roku. Firma mówi o błędzie, który naprawiła, a w kopii strony o usuwaniu konta z 18 października bloków już nie ma. Nie wiadomo, czy chatbot naprawdę tak odpowiadał. Twoich praw to nie zmienia: konto usuniesz w aplikacji opcją Usuń konto, a bez dostępu do numeru możesz wysłać WhatsAppowi żądanie usunięcia danych z art. 17 RODO. Jeśli w ciągu miesiąca nie dostaniesz odpowiedzi albo uważasz, że firma rozpatrzyła żądanie niezgodnie z RODO, złóż skargę do Prezesa UODO albo do irlandzkiej Komisji Ochrony Danych.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
