Pracownik zgubił telefon z firmową pocztą. Pierwsza godzina: blokada, SIM i hasła, potem 72 godziny na UODO. Trzy ustawienia, które robisz dziś, żeby jutro nie było czego zgłaszać

Pierwsza godzina: zablokować, zanim zaczniesz szukać

Odruch każe dzwonić na zgubiony numer i jechać do taksówkarza. Zrób to, ale dopiero po trzech kliknięciach, które zamykają dostęp do firmy. Na Androidzie wchodzisz na stronę google.com/android/find z dowolnego komputera, wybierasz urządzenie i „Oznacz jako utracone”. Telefon blokuje się kodem PIN, wzorem albo hasłem, a na ekranie wyświetla Twoją wiadomość i numer kontaktowy. Możesz też włączyć dźwięk na pięć minut, nawet jeśli telefon był wyciszony, i sprawdzić położenie na mapie. Warunki są cztery: telefon ma zasilanie, połączenie z siecią, jest zalogowany na konto Google i miał włączone Centrum lokalizacji, czyli dawne Znajdź moje urządzenie.

Na iPhonie działa to tak samo przez icloud.com/find i opcję „Oznacz jako utracone”. Urządzenie przechodzi w tryb Utracony: wymaga kodu, pokazuje Twój komunikat z numerem, nie wyświetla powiadomień, ale nadal odbiera połączenia, a karty w Apple Pay zostają zawieszone. Położenie widzisz na mapie i dostajesz mail z potwierdzeniem. Jeśli telefon jest poza zasięgiem, blokada wejdzie, gdy tylko połączy się z internetem.

Drugi krok to operator. Na numer przychodzą kody SMS do bankowości i logowań, więc blokada karty SIM zamyka tę furtkę. Apple wprost radzi zawiesić usługę u operatora, gdy nie liczysz na odzyskanie urządzenia. Trzeci krok to konta: zmień hasło do firmowej poczty i wyloguj wszystkie sesje, a jeśli firma ma Google Workspace albo Microsoft 365, administrator w panelu czyści konto służbowe z tego urządzenia. Dopiero na końcu zostaje pełne wymazanie telefonu. Google ostrzega, że po przywróceniu ustawień fabrycznych urządzenie znika z Centrum lokalizacji i nie da się go już namierzyć, a karta pamięci może nie zostać wyczyszczona. U Apple po wymazaniu zostaje Blokada aktywacji, więc znalazca nie uruchomi iPhone’a bez Twojego konta, a jeśli telefon jest offline, wymaże się przy najbliższym połączeniu.

72 godziny: kiedy zgubiony telefon jest naruszeniem

Jeśli w telefonie były dane osobowe, na przykład kontakty klientów, umowy w załącznikach czy lista pracowników z numerami PESEL, zgubienie urządzenia jest naruszeniem ochrony danych w rozumieniu RODO. Artykuł 33 każe administratorowi zgłosić je organowi nadzorczemu od razu, a najpóźniej 72 godziny po tym, jak się o nim dowiedział, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Zegar rusza w chwili, gdy pracownik powiedział Ci o zgubie, nie wtedy, gdy telefon wypadł z kieszeni. Zgłoszenie po terminie wymaga wyjaśnienia przyczyn opóźnienia.

Ocena ryzyka należy do Ciebie. Telefon z blokadą ekranu, szyfrowaniem i zdalnie wyczyszczonym kontem służbowym to zupełnie inny przypadek niż urządzenie bez kodu, na którym poczta otwierała się jednym dotknięciem. Artykuł 34 dodaje, że gdy ryzyko dla osób jest wysokie, trzeba zawiadomić także te osoby, ale nie jest to wymagane, jeśli dane były zabezpieczone środkami takimi jak szyfrowanie, które uniemożliwiają odczyt. Niezależnie od decyzji o zgłoszeniu, artykuł 33 każe dokumentować każde naruszenie: okoliczności, skutki i podjęte działania. Jedna kartka w rejestrze naruszeń z datą, opisem i zrzutem ekranu z blokady załatwia ten obowiązek.

Skala jest spora. W sprawozdaniu za 2024 r. Prezes UODO wylicza 14 842 zgłoszenia naruszeń, wobec 7507 cztery lata wcześniej. Wśród najczęstszych rodzajów urząd wymienia zagubienie lub kradzież nośnika danych, zwykle laptopa albo niezaszyfrowanego pendrive’a. Po takich incydentach firmy wdrażały szyfrowanie, zdalne usuwanie danych z urządzeń poza siedzibą i przenosiły dane do chmury, a kradzieże zgłaszały policji. Urząd nałożył w 2024 r. 27 kar na łącznie 13,9 mln zł, a w 2025 r. już 32 kary na 64,4 mln zł, choć te największe dotyczyły banku i Poczty Polskiej, nie zgubionych telefonów.

Trzy ustawienia, które robisz dziś

Pierwsze: blokada ekranu i lokalizacja na każdym telefonie, na którym jest firmowa poczta, także prywatnym. Centrum lokalizacji włącza się samo po dodaniu konta Google, ale lokalizacja przez sieć innych urządzeń wymaga ustawionego PIN-u, wzoru albo hasła. U Apple wymazanie i tryb Utracony działają tylko wtedy, gdy usługa Znajdź była włączona przed zgubieniem. To ustawienie na dwie minuty, a GUS pokazuje, jak rzadko firmy robią podstawy: w 2025 r. dane, dokumenty i pocztę szyfrowało 43 proc. małych firm (10–49 pracujących) wobec 93,9 proc. dużych, logowanie co najmniej dwiema metodami miało 43 proc., a silne hasła 78,5 proc.

Drugie: zarządzanie urządzeniami w pakiecie, za który już płacisz. W Google Workspace podstawowe zarządzanie urządzeniami mobilnymi jest domyślnie włączone w organizacji i obsługuje Androida oraz iPhone’y. Administrator widzi listę telefonów z dostępem do danych firmy, może wymagać hasła na urządzeniu i po zgubieniu wyczyścić z niego konto użytkownika. W Microsoft 365 Business Basic i Standard jest bezpłatna Podstawowa Mobilność i Zabezpieczenia: zasady wymuszają kod i szyfrowanie, ustawiają blokadę po bezczynności (domyślnie cztery minuty) i liczbę błędnych logowań, po których telefon sam się czyści (domyślnie cztery). Zdalnie usuwasz tylko zasoby firmy albo resetujesz całe urządzenie. Zdalną blokadę, lokalizowanie i tryb zgubienia Microsoft zostawia pełnemu Intune, który jest w Business Premium.

Trzecie: profil służbowy na prywatnych telefonach z Androidem. Rozdziela aplikacje i dane firmowe od osobistych, służbowe mają ikonę aktówki. Gdy pracownik odchodzi albo gubi telefon, usunięcie profilu kasuje pocztę i dokumenty firmy, a zdjęcia dzieci zostają. To rozwiązuje też spór, który zwykle blokuje wdrożenie takich narzędzi: nikt nie chce dać szefowi guzika do wymazania własnego telefonu.

Co piąta mała firma miała incydent

Dane GUS za 2024 r. studzą przekonanie, że to problem dużych. Przynajmniej jeden incydent bezpieczeństwa ICT miało 22,2 proc. małych firm, najczęściej niemożność korzystania z systemów z powodu awarii sprzętu lub oprogramowania (20,3 proc.). Zniszczenie danych przez awarię zgłosiło 5,9 proc., ataki w rodzaju ransomware 1,7 proc., a ujawnienie poufnych danych przez włamanie lub phishing oraz przez przypadkowe działanie pracowników po 0,6 proc. Zgubiony telefon mieści się w kilku z tych rubryk naraz. O kopiach zapasowych, które ratują przy awarii i ataku, pisaliśmy przed weekendem, a o tym, kto w firmie ma klucze do kont, w tekście o przejętym fanpage’u.

Co z tego dla Ciebie

1. Zrób dziś listę telefonów, na których działa firmowa poczta, komunikator z klientami albo bankowość, łącznie z prywatnymi. Na każdym sprawdź blokadę ekranu, aktualizacje i czy Centrum lokalizacji albo Znajdź jest włączone.
2. Włącz zarządzanie urządzeniami w Google Workspace albo Microsoft 365, ustaw wymagany kod i szyfrowanie, przejrzyj listę urządzeń i usuń te, których nikt już nie używa.
3. Na prywatnych Androidach pracowników załóż profil służbowy. Tłumacz to tak, jak jest: firma widzi i kasuje tylko swoją połowę telefonu.
4. Przygotuj jedną kartkę „zgubiłem telefon”: adresy google.com/android/find i icloud.com/find, numer do operatora, kto zmienia hasła i czyści konto, kto decyduje o zgłoszeniu do UODO i gdzie jest rejestr naruszeń. Kody zapasowe do logowania dwuetapowego trzymaj poza telefonem.
5. Przećwicz to raz: oznacz własny telefon jako utracony, zobacz, co się wyświetla, i wyłącz tryb. Lepiej poznać ten ekran na spokojnie niż w taksówce o 22:00.

Stan na: 02.11.2026. Tekst nie jest poradą prawną.