Telegram Mini Apps mają problem z prywatnością – nowe badanie wykazało, że 59,4% aplikacji łączy się z nieujawnionymi podmiotami zewnętrznymi, a żadna z przebadanych nie oferowała zgody ani opcji rezygnacji

Telegram Mini Apps wyglądają jak część komunikatora, ale technicznie są czymś innym: to zewnętrzne aplikacje webowe uruchamiane wewnątrz Telegrama. Ta różnica ma znaczenie dla prywatności. Nowe badanie TeleGapper wykazało, że 165 z 278 przebadanych Mini Apps, czyli 59,4%, kontaktowało się z co najmniej jednym podmiotem zewnętrznym niewskazanym w obowiązującej polityce prywatności. Jeszcze bardziej problematyczny jest moment tych połączeń. W 85,5% aplikacji, w których wykryto naruszenie deklaracji, komunikacja z nieujawnioną stroną trzecią zaczynała się już podczas otwierania aplikacji — zanim użytkownik zdążył cokolwiek nacisnąć.

Badacze nie znaleźli też w żadnej z 278 aplikacji widocznego przy uruchomieniu mechanizmu pozwalającego zaakceptować, odrzucić lub skonfigurować przetwarzanie danych. Nie oznacza to automatycznie, że każda zaobserwowana transmisja była niezgodna z RODO. Pokazuje jednak poważniejszy problem: użytkownik często nie wie, dokąd trafiają dane, a przesyłanie części z nich zaczyna się, zanim ma realną możliwość podjęcia decyzji.

59,4% aplikacji kontaktowało się z nieujawnionymi podmiotami. To nie były pojedyncze przypadki

Autorzy badania — Luca Ferrari, Mariano Ceccato i Luca Verderame — stworzyli narzędzie TeleGapper, które analizuje Telegram Mini Apps podczas rzeczywistego działania. Nie opierali się wyłącznie na deklaracjach twórców. Przechwytywali ruch sieciowy aplikacji, identyfikowali zewnętrzne domeny i porównywali je z odbiorcami danych wskazanymi w polityce prywatności.

Materiał wyjściowy stanowiło 991 wpisów z katalogu tApps Center zebranych w pierwszej połowie czerwca 2026 r. Do uzyskania zakładanej próby 278 działających aplikacji trzeba było wylosować 442 pozycje. 164, czyli 37,1%, odrzucono, ponieważ nie można było ich poprawnie przeanalizować. W tej grupie znajdowały się m.in. nieaktywne boty, niedostępne frontendy oraz aplikacje bez obsługiwanego przez narzędzie punktu uruchomienia.

Każdą aplikację obserwowano podczas startu oraz późniejszej interakcji. Testy prowadzono na Google Pixel 9 z Androidem 16 i Telegramem 12.7.3, a eksploracja obejmowała pięć uruchomień aplikacji. Na jedną próbę interakcji przewidziano maksymalnie 240 sekund.

Wynik jest mocny:

• 165 z 278 aplikacji — 59,4% — kontaktowało się z co najmniej jednym nieujawnionym podmiotem zewnętrznym;

• 113 aplikacji, czyli 40,6%, nie wykazało takiego zachowania podczas przeprowadzonych testów;

• wśród 165 problematycznych aplikacji tylko 61 kontaktowało się z jednym nieujawnionym odbiorcą;

• 104 aplikacje, czyli 63% naruszającej grupy, łączyły się z co najmniej dwoma takimi podmiotami;

• 30 aplikacji kontaktowało się z pięcioma lub większą liczbą nieujawnionych odbiorców;

• rekordzista osiągnął 14 różnych nieujawnionych podmiotów;

• średnia dla aplikacji z wykrytym problemem wyniosła 2,78 odbiorcy, a mediana 2.

To ważne rozróżnienie. Problem nie sprowadza się więc do pojedynczego zapomnianego wpisu w polityce prywatności. W znacznej części aplikacji ruch trafiał równolegle do kilku usług.

Na liście najczęściej obserwowanych odbiorców pojawiły się znane systemy analityczne i reklamowe. Podczas uruchamiania aplikacji najczęściej wykrywano Google Tag Manager — w 46 ze 165 aplikacji z naruszeniem — oraz Adsgram w 40 przypadkach. Dalej znalazły się Yandex Metrica, Rtmark i Monetag. Podczas późniejszego korzystania dominowały Yandex Metrica, Google Tag Manager, Meta Analytics, TikTok Analytics oraz Google Marketing.

Sama obecność Google Tag Managera czy systemu analitycznego nie jest naruszeniem prywatności. Problem zaczyna się wtedy, gdy rzeczywisty odbiorca danych nie odpowiada temu, o czym poinformowano użytkownika, albo gdy technologia wymagająca określonej podstawy prawnej uruchamia się bez spełnienia wymaganych warunków.

Dane ruszają w sieć zanim użytkownik zdąży zareagować

Najbardziej praktyczny wniosek z badania dotyczy czasu. Spośród 165 aplikacji z wykrytym problemem 141, czyli 85,5%, kontaktowało się z nieujawnionymi podmiotami już podczas otwierania Mini App.

Rozkład wyglądał następująco:

• 53 aplikacje — 32,1% naruszającej grupy — robiły to wyłącznie podczas uruchamiania;

• 24 — 14,5% — dopiero podczas późniejszej interakcji;

• 88 — 53,3% — zarówno podczas uruchamiania, jak i podczas korzystania.

Oznacza to, że sprawdzenie wyłącznie pierwszych sekund działania aplikacji pozwoliło wykryć znaczną większość zaobserwowanych problemów.

To wynika częściowo z samej architektury Telegram Mini Apps. Nie są one tradycyjnymi aplikacjami pobieranymi ze sklepu i instalowanymi jako osobny pakiet. Mini App jest stroną internetową uruchamianą w WebView Telegrama i pobieraną z infrastruktury kontrolowanej przez jej twórcę. Może więc wykonywać zwykłe żądania webowe do serwerów analitycznych, reklamowych, API i innych usług.

Już przy uruchomieniu Mini App dostaje też kontekst dostarczany przez Telegram. Może on obejmować m.in. identyfikator użytkownika Telegrama, publiczną nazwę, username, zdjęcie profilowe, język klienta czy informację o statusie Premium. Sam adres IP staje się natomiast dostępny w naturalny sposób podczas zestawiania połączenia z serwerem aplikacji.

Badacze sprawdzili również, jakie informacje pojawiały się w transmisjach do nieujawnionych odbiorców. Wśród 165 aplikacji z naruszeniami:

• 157, czyli 95,2%, przesyłało informacje dotyczące urządzenia;

• 63, czyli 38,2%, przesyłały informacje o użytkowniku lub profilu;

• 55 aplikacji — 33,3% naruszającej grupy i 19,8% całej badanej próby — przesyłało obie kategorie.

W informacjach urządzenia często występował zestaw obejmujący model urządzenia, wersję Androida, wersję WebView, język urządzenia i wersję aplikacji Telegram. Osobno każde z tych pól może mieć zwyczajne zastosowanie techniczne, np. dopasowanie interfejsu czy obsługę kompatybilności. Połączone mogą jednak zwiększać możliwość rozpoznawania lub korelowania urządzenia pomiędzy sesjami.

Jeszcze bardziej wrażliwa jest druga kategoria. Badacze obserwowali m.in. Telegram user ID, imię i nazwisko, timestamp uwierzytelnienia, adres zdjęcia profilowego, username oraz elementy initData. W niektórych przypadkach do podmiotu zewnętrznego trafiał cały pakiet initData zamiast wyłącznie informacji potrzebnej do wykonania konkretnej funkcji.

Tu pojawia się praktyczna granica. Jeżeli aplikacja potrzebuje wersji systemu do poprawnego wyświetlenia interfejsu, takie przetwarzanie ma inne uzasadnienie niż wysłanie identyfikatora konta do platformy reklamowej. Nie da się więc uczciwie potraktować każdego requestu do zewnętrznej domeny jako identycznego naruszenia. Trzeba sprawdzić rodzaj danych, odbiorcę, cel, podstawę przetwarzania i treść informacji przekazanej użytkownikowi.

Brak zgody nie oznacza automatycznie naruszenia RODO, ale twórca aplikacji ma problem do rozwiązania

Nagłówek „żadna aplikacja nie oferowała zgody” wymaga precyzji. Autorzy ręcznie sprawdzili ekran startowy wszystkich 278 działających Mini Apps i w żadnej nie zobaczyli bannera, okna zgody ani innego mechanizmu pozwalającego przed rozpoczęciem przetwarzania zaakceptować, odmówić lub skonfigurować opcje prywatności.

Badanie ma jednak konkretne ograniczenie: nie dowodzi, że podobna opcja nie znajdowała się gdzieś głębiej w ustawieniach albo na ekranie, którego automatyczna eksploracja nie osiągnęła. To nie zmienia najważniejszego faktu — w 141 problematycznych aplikacjach połączenie z nieujawnionymi podmiotami występowało już podczas ładowania, czyli wcześniej niż jakakolwiek zaobserwowana możliwość wyrażenia decyzji.

Nie każda operacja na danych osobowych wymaga zgody. RODO przewiduje również inne podstawy przetwarzania. Dlatego z samego braku bannera nie można wyciągnąć wniosku, że wszystkie 278 Mini Apps łamały prawo.

Inaczej wygląda sytuacja przy rozwiązaniach wykorzystujących informacje zapisane w urządzeniu lub uzyskujących do nich dostęp. W europejskim modelu regulacyjnym dla technologii niewymaganych do realizacji usługi użytkownik może wymagać uprzedniej zgody, a wyjątek dotyczy m.in. rozwiązań ściśle niezbędnych do przekazania komunikatu lub wykonania usługi wyraźnie zamówionej przez użytkownika. Dodatkowo obowiązki informacyjne wynikające z RODO obejmują wskazanie odbiorców danych albo ich kategorii.

Dla polskiego użytkownika oznacza to, że problem TeleGapper nie jest abstrakcyjną dyskusją o „śledzeniu”. Są tu trzy oddzielne pytania:

1. Czy aplikacja przekazuje dane podmiotowi zewnętrznemu?

2. Czy użytkownik został o tym prawidłowo poinformowany?

3. Czy konkretna operacja wymaga zgody albo ma inną prawidłową podstawę?

Dopiero odpowiedź na te trzy pytania pozwala ocenić konkretny przypadek.

Słabym punktem ekosystemu jest również sama dokumentacja prywatności. 219 z 278 aplikacji, czyli 78,8%, korzystało wyłącznie z domyślnej Standard Bot Privacy Policy Telegrama. Własną politykę miało jedynie 59 aplikacji.

Co ciekawe, własny dokument nie rozwiązywał problemu. W grupie korzystającej z polityki standardowej nieujawnionego odbiorcę wykryto w 132 z 219 aplikacji, czyli 60,3%. Wśród aplikacji z własną polityką było to 33 z 59, czyli 55,9%. Różnica nie była statystycznie istotna — test dał p = 0,55. Sam fakt napisania własnej polityki prywatności nie jest więc zabezpieczeniem, jeśli dokument nie odpowiada temu, co rzeczywiście robi kod.

Dodatkowe informacje na: ANCHOR.

Z perspektywy zespołu tworzącego Mini App pierwszym zadaniem nie powinno być więc dopisywanie kolejnych akapitów do polityki prywatności. Najpierw trzeba wykonać audyt ruchu sieciowego od pierwszego requestu po uruchomieniu aplikacji. Należy spisać wszystkie zewnętrzne domeny, wskazać przekazywane pola i przypisać im cel oraz podstawę przetwarzania. Dopiero potem trzeba poprawić politykę, konfigurację analityki i mechanizm zgody.

Szczególnie trzeba sprawdzić narzędzia uruchamiane automatycznie wraz z frontendem: Google Tag Manager, Yandex Metrica, systemy reklamowe oraz gotowe SDK analityczne. Jeżeli niepotrzebny tracker startuje przed zgodą albo initData jest przekazywane dalej w całości, to właśnie ten błąd powinien zostać usunięty jako pierwszy. Kolejność odwrotna — najpierw dokument prawny, potem sprawdzanie kodu — często kończy się polityką opisującą system, który w praktyce działa inaczej.

FAQ

Czy badanie dowodzi, że 59,4% wszystkich Telegram Mini Apps narusza RODO?
Nie. 59,4% oznacza 165 z 278 działających aplikacji objętych badaną próbą z katalogu tApps Center, w których wykryto kontakt z co najmniej jednym podmiotem zewnętrznym niewskazanym w obowiązującej polityce prywatności. Autorzy nie twierdzą, że próbka reprezentuje cały ekosystem Telegram Mini Apps ani że każda taka transmisja automatycznie stanowi naruszenie konkretnego przepisu RODO.

Czy Telegram sam przekazywał dane Google, Yandexowi lub sieciom reklamowym?
Badanie dotyczyło ruchu generowanego przez Mini Apps działające jako usługi zewnętrznych dostawców. Nie należy utożsamiać zachowania konkretnej Mini App z zachowaniem samego komunikatora Telegram.

Jakie dane mogą dostać Mini Apps po uruchomieniu?
W zależności od sposobu uruchomienia i kontekstu mogą otrzymać m.in. identyfikator użytkownika Telegrama, publiczną nazwę, username, zdjęcie profilowe, oznaczenie języka oraz status Premium. Serwer aplikacji poznaje także adres IP wynikający z połączenia sieciowego.

Czy brak okna zgody zawsze oznacza złamanie prawa?
Nie. Nie każde przetwarzanie danych opiera się na zgodzie i nie każda operacja techniczna wymaga osobnego bannera. Problem pojawia się szczególnie wtedy, gdy aplikacja uruchamia niewymagane do świadczenia usługi technologie śledzące albo przekazuje dane odbiorcom bez odpowiedniej informacji i podstawy prawnej.

Czy własna polityka prywatności rozwiązuje problem?
Nie. W badaniu naruszenie deklaracji wykryto w 55,9% aplikacji z własną polityką oraz w 60,3% korzystających z polityki domyślnej. Statystycznie nie wykazano istotnej różnicy między tymi grupami.

Co powinien sprawdzić użytkownik przed otwarciem Mini App?
Najpierw profil bota i dostępną politykę prywatności. Jeżeli aplikacja obsługuje płatności, portfel, dane finansowe albo inne wrażliwe operacje, brak konkretnej informacji o operatorze, odbiorcach danych i sposobie kontaktu jest wystarczającym powodem, by nie przekazywać jej dodatkowych informacji.

Od czego powinien zacząć twórca Telegram Mini App?
Od ruchu sieciowego, nie od dokumentów. Trzeba uruchomić aplikację w czystej sesji, zarejestrować requesty wykonywane przed pierwszą interakcją i znaleźć wszystkie domeny zewnętrzne. Pierwszy błąd do usunięcia to automatyczna transmisja zbędnych danych do usług analitycznych lub reklamowych przed uzyskaniem wymaganej zgody albo bez prawidłowego ujawnienia odbiorcy. Dopiero po usunięciu tego problemu należy dopasować politykę prywatności do rzeczywistego przepływu danych.