Blokada MDM w telefonie: co oznacza i co z nią zrobić

Blokada MDM to ekran zarządzania organizacją w konfiguracji wstępnej, który używany telefon, tablet albo Mac pokazuje po resecie fabrycznym. Pojawia się na sprzęcie wycofanym z firmy, który w programie producenta nadal figuruje jako zarządzany, bo przypisanie do organizacji jest zapisane po stronie producenta²⁶. Zarządza nim system MDM, czyli system zarządzania urządzeniami mobilnymi.

Czym jest blokada MDM?

Za blokadą na urządzeniach Apple stoi automatyczna rejestracja urządzeń (Automated Device Enrollment), przeznaczona dla sprzętu będącego własnością organizacji i konfigurująca go od chwili wyjęcia z pudełka⁷. Organizacja zarządza nią w Apple Business, programie, który w starszej dokumentacji Apple nosił nazwę Apple Business Manager⁸. Urządzenia kupione z numerem klienta Apple albo numerem resellera trafiają tam automatycznie, a organizacja przypisuje je do usługi zarządzania⁹. Przy aktywacji urządzenie zarejestrowane w programie sprawdza, czy czeka na nie profil rejestracji¹. Samo wymazanie danych nie zmienia więc przypisania¹.

iPhone, iPad i Mac: ekran zdalnego zarządzania

Zarządzanie zdalne na iPhonie, iPadzie i Macu zaczyna się od panelu Remote Management w konfiguracji początkowej, który polska dokumentacja Apple nazywa "Zdalne zarządzanie". Jeśli urządzenie dodano do Apple Business i organizacja używa usługi zarządzania, tego panelu nie można pominąć¹⁰. Organizacja może też włączyć opcję, przez którą użytkownik nie wyrejestruje nadzorowanego urządzenia, na Macu także z wiersza poleceń⁷. Dopóki ta opcja działa, kupujący nie ma własnej drogi, żeby rejestrację zdjąć.

Samsung i inne telefony z Androidem

Na Androidzie działają między innymi dwa programy zbliżone do rejestracji Apple. W zero-touch od Google reseller zapisuje kupione urządzenia na koncie organizacji, a urządzenie z przypisaną konfiguracją ustawia się samo przy pierwszym uruchomieniu albo po następnym resecie fabrycznym². Samsung ma Knox Mobile Enrollment (KME): zatwierdzony reseller wgrywa numery IMEI kupionych urządzeń do portalu Knox, a po zatwierdzeniu wgrania urządzenia pojawiają się w portalu organizacji⁶. Urządzenie zapisane w KME po resecie instaluje aplikację zarządzającą od nowa i rejestruje się ponownie³. Na Androidzie reset także nie zdejmuje przypisania, dopóki urządzenie jest zapisane w portalu organizacji.

Czym blokada MDM nie jest

Po resecie ekran może pochodzić z jednej z trzech blokad, a każda ma inną drogę zdjęcia. Blokada aktywacji Apple włącza się automatycznie, gdy użytkownik skonfiguruje usługę Znajdź na swoim koncie Apple, a chroniony nią iPhone z systemem 15 lub nowszym pokazuje ekran "iPhone zablokowany dla właściciela"¹¹. W urządzeniach firmowych blokadę aktywacji może włączyć także usługa zarządzania organizacji, a organizacja zdejmuje oba rodzaje w Apple Business, jeśli dodała urządzenie do programu i nie zwolniła go przed włączeniem blokady¹²¹³.

Na Androidzie odpowiednikiem jest ochrona po resecie (factory reset protection, FRP): przy konfiguracji trzeba podać dane konta Google dodanego wcześniej albo blokadę ekranu, a bez nich telefonu nie da się używać¹⁴. W urządzeniach firmowych administrator może FRP wyłączyć albo włączyć EFRP, czyli wskazać konta Google uprawnione do aktywacji po resecie, i musi to zrobić przed resetem¹⁵. Osobną usługą Samsunga, spoza tych trzech blokad, jest Knox Guard: pozwala zablokować urządzenie, na przykład przy zaległej płatności, a zablokowanemu urządzeniu ogranicza reset fabryczny¹⁶.

Skąd blokada na używanym sprzęcie

Sprzęt z przypisaniem trafia na rynek wtórny, gdy organizacja go sprzedaje, oddaje albo zwraca z leasingu i nie zwalnia urządzeń z programu producenta. Wytyczne NIST opisują te drogi: kontrola nad sprzętem zmienia się, gdy wraca on z leasingu, zostaje przekazany, odsprzedany poza organizację albo oddany do recyklingu¹⁷. Apple wymaga od organizacji, żeby zwalniała każde urządzenie, którego nie posiada ani nie kontroluje⁴. Ten sam ekran bywa nazywany potocznie blokadą firmową albo korporacyjną blokadą MDM. Dotyczy także telefonów służbowych z dopuszczonym użytkiem prywatnym (COPE), bo należą one do organizacji i podlegają jej rejestracji⁷.

Źródłem blokady bywa też kradzież. Blokada aktywacji Apple ma utrudniać używanie zgubionego lub skradzionego urządzenia¹¹, więc sprzęt z cudzą blokadą może pochodzić także z przestępstwa.

Czy MDM jest bezpieczny i co widzi organizacja?

Przy automatycznej rejestracji Apple organizacja ma szerokie uprawnienia nad urządzeniem, ale tabela Apple wyklucza wgląd w prywatną korespondencję użytkownika. Zakres podaje Apple w tabeli porównującej metody rejestracji. Usługa zarządzania może wtedy zdalnie wymazać całą zawartość i ustawienia, wymusić złożone hasło i aktualizacje, odczytać listę wszystkich aplikacji, numer seryjny i numer telefonu, zarządzać blokadą aktywacji oraz włączyć tryb zgubionego urządzenia (Managed Lost Mode)¹⁸. Ta sama tabela oznacza jako niedozwolone przeglądanie osobistej poczty, kontaktów, kalendarzy i notatek, wiadomości iMessage i SMS, historii połączeń FaceTime i telefonicznych oraz historii Safari, a także odczyt lokalizacji urządzenia i zbieranie częstotliwości używania aplikacji¹⁸.

Organizacja, w której usłudze urządzenie jest zarejestrowane, może je zdalnie wymazać. Kupujący, który dokończy konfigurację na sprzęcie z cudzym przypisaniem, pozostaje więc pod tymi uprawnieniami organizacji. Organizacja nie jest stroną jego umowy.

Dlaczego obejście blokady to ryzyko

Dokumentacja Apple, Google i Samsunga opisuje zdjęcie przypisania po stronie organizacji, a w zero-touch także resellera. Apple opisuje dwie drogi zdjęcia blokady organizacyjnej: polecenie usługi zarządzania albo wpisanie na ekranie blokady danych konta, które utworzyło token tej usługi w Apple Business¹². Google opisuje zdjęcie przypisania w portalu organizacji i resellera²⁵, Samsung w portalu organizacji³⁶. Każde obejście jest więc działaniem poza drogą, którą producent przewidział.

Dopóki przypisanie istnieje u producenta, urządzenie rejestruje się ponownie przy następnym resecie¹²³, więc efekt obejścia może zniknąć razem z kolejnym wymazaniem. Europol opisał w 2024 roku sieć odblokowującą skradzione telefony przez phishing, a dotyczyła ona blokad kont użytkowników, nie rejestracji w MDM¹⁹.

Jak usunąć blokadę MDM na iPhonie, iPadzie, Macu i Androidzie?

Blokadę zdejmuje organizacja, która urządzenie zarejestrowała. W Apple Business wybiera ona urządzenie na liście i używa polecenia Release from Organization, potwierdza, że tej operacji nie da się cofnąć, a potem urządzenie wymazuje się i przywraca⁴. Zwolnienie wymaga roli z uprawnieniem do zwalniania urządzeń, a usługa zarządzania może dostać prawo zwalniania bez logowania do Apple Business⁴. Na Androidzie ta sama zasada działa w innych konsolach: organizacja wyrejestrowuje urządzenie w portalu zero-touch albo reseller usuwa je z jej konta²⁵, a w Knox Mobile Enrollment organizacja usuwa urządzenie z listy KME, po czym ponowne wpisanie zleca resellerowi³⁶. Zwolnione urządzenie Apple można dodać z powrotem przez Apple Configurator albo resellera⁴.

Kupującemu zostaje droga przez sprzedawcę. Warto przerwać konfigurację, zachować dowód zakupu i zdjęcie ekranu z blokadą oraz poprosić sprzedawcę, żeby zażądał zwolnienia urządzenia od organizacji, z której je ma, i potwierdził to na piśmie. Gdy ekran żąda konta Apple poprzedniego właściciela, jest to blokada aktywacji, a nie rejestracja w MDM. Apple każe wtedy oddać urządzenie sprzedawcy albo poprosić poprzedniego właściciela o usunięcie go ze swojego konta przez przeglądarkę¹¹.

Co sprawdzić przed zakupem

Apple opisuje test dla zakupu od osoby trzeciej. Jeśli po włączeniu pojawia się ekran blokady z kodem albo ekran główny, urządzenie nie zostało wymazane, więc sprzedawca ma wymazać je przy kupującym; gdy konfiguracja prosi o konto Apple poprzedniego właściciela, urządzenie nadal jest z nim powiązane, a gotowe do użycia dochodzi do ekranu powitalnego¹¹. W tej samej konfiguracji pojawia się też panel zdalnego zarządzania, jeśli urządzenie ma przypisanie¹⁰, więc test przy sprzedawcy ujawnia obie blokady. Na Androidzie chroniony telefon wymaga po resecie danych zabezpieczenia sprzed resetu¹⁴, a urządzenie z konfiguracją zero-touch ustawia się samo przy pierwszym uruchomieniu².

Prawa kupującego wobec sprzedawcy

Podstawa roszczeń zależy od tego, kto sprzedał telefon. Przepisy nie mówią o blokadzie MDM wprost. Jej kwalifikacja prawna zależy więc od okoliczności sprawy.

Od przedsiębiorcy kupujący, który jest konsumentem, dochodzi praw na podstawie rozdziału 5a ustawy o prawach konsumenta, a przepisy Kodeksu cywilnego o rękojmi do takiej umowy się nie stosują (art. 43a ust. 1)²¹. Towar jest zgodny z umową, gdy między innymi nadaje się do celów, do których zazwyczaj używa się towaru tego rodzaju (art. 43b ust. 2 pkt 1). Na to kryterium może się powołać kupujący telefonu, którego po resecie nie da się skonfigurować. Przedsiębiorca odpowiada za brak zgodności istniejący w chwili dostarczenia i ujawniony w ciągu dwóch lat (art. 43c ust. 1). Konsument może żądać naprawy lub wymiany (art. 43d ust. 1). Obniżenia ceny albo odstąpienia od umowy może żądać między innymi wtedy, gdy przedsiębiorca odmówił doprowadzenia towaru do zgodności, nie doprowadził go do zgodności w rozsądnym czasie albo brak zgodności występuje nadal mimo próby naprawy (art. 43e ust. 1). Od umowy nie można jednak odstąpić przy niezgodności nieistotnej, a istotność się domniemywa (art. 43e ust. 4). Konsument nie może zrzec się praw z ustawy, a umowa mniej korzystna jest nieważna (art. 7). Przedsiębiorca nie odpowiada jednak za cechę towaru odbiegającą od wymogów zgodności, jeśli konsument najpóźniej przy zawarciu umowy został wyraźnie poinformowany o tej cesze i wyraźnie oraz odrębnie ją zaakceptował (art. 43b ust. 4).

Kupno od osoby prywatnej podlega Kodeksowi cywilnemu, a kupujący nie jest wtedy konsumentem, bo Kodeks uważa za konsumenta osobę fizyczną działającą z przedsiębiorcą (art. 22¹)²². Sprzedawca odpowiada za wadę (art. 556). Wadą fizyczną jest niezgodność rzeczy z umową, w tym brak właściwości, które rzecz powinna mieć ze względu na cel oznaczony w umowie albo wynikający z okoliczności lub przeznaczenia (art. 556¹ § 1 pkt 1). Wadą prawną jest to, że rzecz stanowi własność osoby trzeciej, jest obciążona jej prawem albo ograniczenie w korzystaniu z niej wynika z decyzji lub orzeczenia organu (art. 556³). Z własnością wiąże się też art. 169 § 2: rzecz skradziona, zbyta przed upływem trzech lat od skradzenia, może przejść na własność nabywcy dopiero z upływem tego terminu. Blokadę MDM można więc opisać jako wadę fizyczną albo jako wadę prawną, a przepisy nie rozstrzygają, która kwalifikacja jest właściwa.

Kupujący może żądać wymiany rzeczy albo usunięcia wady (art. 561 § 1), a gdy sprzedawca niezwłocznie i bez nadmiernych niedogodności nie wymieni rzeczy ani nie usunie wady, może obniżyć cenę albo odstąpić od umowy (art. 560 § 1). Za wadę fizyczną sprzedawca odpowiada, jeśli stwierdzono ją w ciągu dwóch lat od wydania rzeczy (art. 568 § 1), a roszczenie o usunięcie wady lub wymianę przedawnia się z upływem roku od jej stwierdzenia (art. 568 § 2). Przy wadzie prawnej stosuje się art. 568 § 2-5, z tym że termin zaczyna biec od dnia, w którym kupujący dowiedział się o wadzie (art. 576). Strony mogą rękojmię wyłączyć lub ograniczyć (art. 558 § 1), ale wyłączenie nie działa, gdy sprzedawca podstępnie zataił wadę (art. 558 § 2). Przy wadzie prawnej nie zwalnia ono sprzedawcy ze zwrotu ceny, jeśli kupujący musi wydać rzecz osobie trzeciej, chyba że wiedział, iż prawa sprzedawcy były sporne, albo nabył rzecz na własne niebezpieczeństwo (art. 575). Sprzedawca jest wolny od rękojmi, jeśli kupujący wiedział o wadzie w chwili zawarcia umowy (art. 557 § 1).

Gdy sprzedawca nie odpowiada

Żądanie warto wysłać na piśmie, z opisem wady i datą, bo rozsądny czas na naprawę lub wymianę liczy się od chwili poinformowania przedsiębiorcy (art. 43d ust. 4 ustawy o prawach konsumenta)²¹. Osoba prywatna ma wymienić rzecz albo usunąć wadę w rozsądnym czasie bez nadmiernych niedogodności dla kupującego (art. 561 § 2 Kodeksu cywilnego)²².

Gdy ten czas minie bez skutku, kupujący składa oświadczenie o obniżeniu ceny albo o odstąpieniu od umowy, a przy zakupie od przedsiębiorcy podstawą jest art. 43e ust. 1 ustawy o prawach konsumenta. Przy zakupie od osoby prywatnej kupujący może obniżyć cenę albo odstąpić od umowy, gdy sprzedawca nie uczynił zadość obowiązkowi wymiany rzeczy lub usunięcia wady (art. 560 § 1 Kodeksu cywilnego).

Jak firma zwalnia urządzenia przed sprzedażą

Firma, która sprzedaje, oddaje albo zwraca z leasingu telefony, tablety i komputery, powinna je zwolnić z programu producenta, zanim opuszczą jej kontrolę. Kolejność kroków ma znaczenie. Na urządzeniach Apple blokadę aktywacji trzeba zdjąć przed zwolnieniem, bo po zwolnieniu Apple Business nie zarządza już blokadą⁴¹³, a samo zwolnienie wymaga potem wymazania i przywrócenia urządzenia⁴. Na Androidzie usunięcie z zero-touch czyści konfigurację klienta i dopiero wtedy urządzenie zostaje niezarządzane po resecie⁵. Ochronę FRP trzeba wyłączyć albo zastąpić EFRP przed resetem¹⁵. W Knox Mobile Enrollment urządzenie wyrejestrowuje się z Knox Manage i usuwa z listy KME po numerze IMEI³. Usunięcie ze wspólnej listy portalu Knox usuwa je ze wszystkich usług Knox poza Knox Manage i Knox Guard⁶.

Wymazanie danych i zwolnienie z organizacji to dwie osobne czynności, a żadna nie zastępuje drugiej. Dobry zapis zwolnienia to inwentarz z numerami seryjnymi, potwierdzenie zwolnienia w konsoli i sprawdzenie na świeżo wymazanym egzemplarzu, czy konfiguracja dochodzi do ekranu powitalnego bez pytania o organizację albo konto¹¹. NIST dodaje do tego certyfikat sanityzacji, w którym zapisuje się między innymi producenta, model, numer seryjny, metodę, użyte narzędzie i osobę weryfikującą¹⁷. Komputery z Windows zarządzane przez Autopilot mają osobną procedurę zwolnienia.

Dane osobowe pozostawione na sprzedawanym urządzeniu podlegają RODO: mają być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo (art. 5 ust. 1 lit. f), a administrator wdraża środki odpowiednie do ryzyka, w którym liczy się nieuprawniony dostęp do danych przechowywanych (art. 32 ust. 1 i 2)²³. Wytyczne NIST SP 800-88 wskazują, że utrata kontroli nad niewyczyszczonym sprzętem może być naruszeniem ochrony danych¹⁷, a NIST SP 800-124 zaleca wymazanie urządzenia przed ponownym wydaniem i wycofaniem²⁰. Usługą zarządzania bywa konsola EMM albo UEM, a jej wybór jest osobną decyzją, do której dostawców prowadzi kategoria Bezpieczeństwo Infrastruktury. Jednostki samorządu terytorialnego, które wycofują sprzęt, znajdą cykl życia urządzenia razem z wycofaniem w poradniku System MDM w jednostkach samorządu terytorialnego.

Źródła

1. Apple, "Use Return to Service for Apple devices", 17.09.2026 - sprawdzenie profilu rejestracji przy aktywacji zarejestrowanego urządzenia (odczyt 20.10.2026)
2. Google, "Zero-touch enrollment for IT admins" - rejestracja zero-touch, wyrejestrowanie urządzenia, konfiguracja po resecie (odczyt 20.10.2026)
3. Samsung, "Use Samsung Knox Mobile Enrollment", 03.06.2025 - ponowna rejestracja po resecie, usunięcie urządzeń z KME (odczyt 20.10.2026)
4. Apple, "Release devices in Apple Business", 14.04.2026 - zwolnienie urządzenia z organizacji, wymazanie i przywrócenie, utrata zarządzania blokadą aktywacji (odczyt 20.10.2026)
5. Google, "Reseller portal guide" - usuwanie urządzeń klienta przez sprzedawcę, urządzenie niezarządzane po resecie (odczyt 20.10.2026)
6. Samsung, "Register devices to your Knox cloud services", 19.11.2025 - wgrywanie IMEI przez sprzedawcę, usunięcie urządzenia z usług Knox (odczyt 20.10.2026)
7. Apple, "Automated Device Enrollment and device management", 17.09.2026 - automatyczna rejestracja urządzeń organizacji, zakaz wyrejestrowania przez użytkownika (odczyt 20.10.2026)
8. Apple, "Apple Business Manager is now Apple Business" - zmiana nazwy programu (odczyt 20.10.2026)
9. Apple, "Device workflow in Apple Business", 14.04.2026 - urządzenia z numerem klienta lub sprzedawcy, przypisanie do usługi zarządzania (odczyt 20.10.2026)
10. Apple, "Zarządzanie Asystentem ustawień na urządzeniach Apple", 17.12.2025 - panel Zdalne zarządzanie, którego nie można pominąć (odczyt 20.10.2026)
11. Apple, "Blokada aktywacji na iPhonie i iPadzie", 04.05.2026 - blokada aktywacji, sprawdzenie urządzenia przed zakupem od osoby trzeciej (odczyt 20.10.2026)
12. Apple, "Activation Lock on Apple devices", 29.07.2024 - blokada organizacyjna i użytkownika, drogi jej zdjęcia (odczyt 20.10.2026)
13. Apple, "Turn off Activation Lock in Apple Business", 14.04.2026 - organizacja zdejmuje blokadę aktywacji organizacyjną i użytkownika na własnych urządzeniach (odczyt 20.10.2026)
14. Google, "Help prevent others from using your device without permission" - ochrona po resecie na Androidzie (odczyt 20.10.2026)
15. Google, "Enable enterprise factory reset protection" - FRP i EFRP na urządzeniach firmowych (odczyt 20.10.2026)
16. Samsung, "Knox Guard", 26.06.2024 - blokada urządzenia przy zaległej płatności (odczyt 20.10.2026)
17. NIST, "Guidelines for Media Sanitization", Ramaswamy Chandramouli, Eric Hibbard, 09.2025 - sekcje 4.3.4 i 4.6: utrata kontroli nad sprzętem, certyfikat sanityzacji (odczyt 20.10.2026)
18. Apple, "Enrollment methods for Apple devices", 28.01.2025 - tabela uprawnień usługi zarządzania przy metodach rejestracji (odczyt 20.10.2026)
19. Europol, "Criminal phishing network resulting in over 480 000 victims worldwide busted in Spain and Latin America", 19.09.2024 - sieć odblokowująca skradzione telefony, 483 000 ofiar, ponad 1,2 mln telefonów (odczyt 20.10.2026)
20. NIST, "Guidelines for Managing the Security of Mobile Devices in the Enterprise", Gema Howell i in., 05.2023 - sekcja 4.2.1.3: wymazanie urządzenia przed ponownym wydaniem i wycofaniem (odczyt 20.10.2026)
21. Ustawa z dnia 30 maja 2014 r. o prawach konsumenta (tekst jednolity Dz.U. 2026 poz. 1244), art. 7, art. 43a-43e, wybrane ustępy (odczyt 20.10.2026)
22. Ustawa z dnia 23 kwietnia 1964 r. - Kodeks cywilny (tekst jednolity Dz.U. 2026 poz. 795), art. 22¹, art. 169, art. 556-576, wybrane przepisy (odczyt 20.10.2026)
23. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5 ust. 1 lit. f, art. 32 ust. 1 i 2 (odczyt 20.10.2026)