Publiczny e-mail nie jest zgodą, a relacja B2B nie wyłącza PKE. Wyjaśniamy, jak prowadzić prospecting po objęciu podmiotów marketingowych planem kontroli UODO na 2026 r.
W 2026 r. działy sprzedaży i marketingu powinny ponownie sprawdzić praktyki outboundowe. Prezes UODO wpisał „podmioty marketingowe” do planu kontroli sektorowych w 2026 r. i zapowiedział badanie podstaw prawnych przetwarzania danych w marketingu. Nie oznacza to jednak końca sprzedaży wychodzącej. Oznacza to, że numer telefonu lub adres e-mail znaleziony w CEIDG, KRS, na stronie internetowej albo w serwisie społecznościowym nie może być automatycznie traktowany jako zgoda na ofertę.
Jakie przepisy trzeba spełnić jednocześnie?
Legalność kampanii ocenia się na dwóch poziomach: Prawa komunikacji elektronicznej (PKE) oraz RODO. Spełnienie tylko jednego z nich nie wystarcza.
Art. 398 PKE zakazuje używania automatycznych systemów wywołujących lub telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, bez uprzedniej zgody abonenta lub użytkownika końcowego. Przepis obejmuje m.in. e-mail, telefon, SMS i komunikatory. Obowiązuje również w relacjach B2B. Wysłanie oferty na adres typu biuro@spolka.pl może co do zasady pozostawać poza RODO, jeżeli adres nie identyfikuje osoby fizycznej, ale nadal podlega wymogom PKE.
RODO odpowiada natomiast na pytanie, czy wolno przetwarzać dane konkretnej osoby. Adres imie.nazwisko@firma.pl, bezpośredni numer telefonu lub profil zawodowy są co do zasady danymi osobowymi. Podstawą może być zgoda albo – w odpowiednich przypadkach – prawnie uzasadniony interes administratora z art. 6 ust. 1 lit. f RODO. Interes ten wymaga udokumentowanego testu równowagi. Warto mieć na uwadze, że nawet pozytywny wynik testu nie zastępuje zgody na użycie e-maila lub telefonu wymaganej przez PKE.
Więcej o granicach prawnie uzasadnionego interesu w marketingu piszemy w artykule „Marketing oparty na uzasadnionym interesie – kiedy to nie działa?”.
Czy można najpierw zapytać o zgodę?
Samo opublikowanie danych kontaktowych nie oznacza zgody marketingowej. Pierwszy „neutralny” e-mail lub telefon jest ryzykowny, jeżeli w rzeczywistości służy przedstawieniu oferty albo wzbudzeniu zainteresowania nią.
W syntezie: w nieprawomocnym wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 17 czerwca 2025 r., sygn. akt II SA/Wa 1971/24, większość składu orzekającego uznała, że jednorazowy kontakt z przedsiębiorcą, którego dane były jawne w CEIDG, wyłącznie w celu ustalenia zgody nie był jeszcze marketingiem bezpośrednim. Wyrok dotyczył jednak konkretnego stanu faktycznego i uchylonego już art. 172 Prawa telekomunikacyjnego (zastąpionego przez PKE); zapadł też ze zdaniem odrębnym. Nie stanowi zatem ogólnej zgody na wysyłanie oferty w pierwszej wiadomości. Szersze omówienie tego orzeczenia znajduje się w odrębnej analizie Kancelarii.
Najbezpieczniej pozyskiwać zgodę w kanałach inboundowych używanych przez przedsiębiorcę: przez formularz, zapis na webinar lub newsletter, w trakcie wydarzenia branżowego albo w odpowiedzi na rzeczywiste zapytanie klienta. Art. 398 ust. 2 PKE pozwala uznać za zgodę udostępnienie adresu elektronicznego, ale tylko wtedy, gdy odbiorca podał go właśnie w celu otrzymywania informacji handlowych, a nie do zwykłego kontaktu.
Co wynika z decyzji Prezesa UODO?
Na dzień 4 sierpnia 2026 r. w publicznej bazie orzeczeń nie opublikowano decyzji Prezesa UODO nakładającej karę bezpośrednio za naruszenie art. 398 PKE przy cold mailingu lub cold callingu. Sankcje za ten przepis nakłada Prezes UKE. UODO bada natomiast legalność przetwarzania danych, a plan kontroli na 2026 r. potwierdza, że marketing jest obszarem podwyższonego zainteresowania organu. Więcej o zakresie zapowiedzianych kontroli można przeczytać w naszym omówieniu planu UODO.
Najbardziej aktualna decyzja UODO istotna dla prospectingu to nieprawomocna decyzja Prezesa UODO z 16 lutego 2026 r., sygn. DS.523.1901.2022. Dotyczyła spółki budującej bazę informacji o przedsiębiorcach z publicznych źródeł, m.in. CEIDG, KRS i GUS. Sprawa została zainicjowana skargą osoby fizycznej na przetwarzanie jej danych osobowych przez przedsiębiorcę z naruszeniem prawa, w szczególności niewykonanie obowiązku informacyjnego, o którym mowa w art. 14 RODO. Prezes UODO odmówił uwzględnienia skargi, ponieważ administrator wykazał realizację obowiązku informacyjnego z art. 14 RODO, w tym poinformowanie o źródle danych, odbiorcach, prawnie uzasadnionym interesie oraz prawach osoby.
Decyzja ta nie legalizuje automatycznie wysyłki ofert na dane z publicznych rejestrów. Sam dostawca bazy zastrzegał, że nie zapewnia klientom podstaw prawnych do marketingowego wykorzystania danych. Co za tym idzie nabywca bazy musi samodzielnie ocenić podstawę z RODO, spełnić obowiązek informacyjny najpóźniej przy pierwszym kontakcie i – niezależnie – posiadać zgodę wymaganą przez PKE.
Z kolei w prawomocnej decyzji Prezesa UODO z 16 października 2019 r., sygn. ZSPR.421.7.2019, na przedsiębiorcę nałożono 201 559,50 zł kary za utrudnianie wycofania zgody i dalsze przetwarzanie danych osób żądających zaprzestania przetwarzania.
Wniosek praktyczny pozostaje aktualny: odpowiedź „proszę więcej do mnie nie pisać” powinna uruchomić prostą blokadę dalszego marketingu we wszystkich systemach i u wszystkich wykonawców kampanii.
Jak przygotować kampanię do kontroli?
Przed rozpoczęciem kampanii firma powinna potrafić udowodnić cały cykl życia danych i zebrane zgody. Ogólne zapewnienie dostawcy, że baza jest „zgodna z RODO”, nie wystarcza. Jeśli jesteś nabywcą bazy danych lub stworzyłeś ją samodzielnie i zastanawiasz się, czy możesz wykorzystać ją do marketingu bezpośredniego:
- udokumentuj treść, datę i źródło zgody, objęte nią kanały oraz podmiot, na rzecz którego została udzielona;
- sprawdź formularze dostawcy bazy, historię zmian klauzul i możliwość wykazania zgody dla konkretnego reklamodawcy;
- przygotuj klauzulę z art. 14 RODO dla danych pozyskanych pośrednio oraz test uzasadnionego interesu;
- prowadź jeden rejestr zgód, wycofań i sprzeciwów oraz listę blokad chroniącą przed ponownym dodaniem osoby do kampanii;
- zapewnij natychmiastowe przekazywanie rezygnacji pomiędzy CRM, call center, agencją i dostawcą narzędzi mailingowych;
- ustal role wszystkich uczestników kampanii i odpowiednio ureguluj powierzenie danych albo współadministrację.
Jakie kary grożą za brak zgody?
Za naruszenie art. 398 PKE Prezes UKE może nałożyć karę do 3% przychodu osiągniętego w poprzednim roku kalendarzowym albo do 1 mln zł – zastosowanie ma kwota wyższa. Niezależnie od tego niezgodne z prawem przetwarzanie danych może prowadzić do wszczęcia postępowania przez Prezesa UODO i w konsekwencje nałożenie sankcji wynikających z RODO. Naruszenie zasad informacji handlowej może również stanowić czyn nieuczciwej konkurencji oraz wykroczenie.
FAQ: cold mailing i telemarketing w 2026 r.
Czy adres e-mail z CEIDG albo strony firmy oznacza zgodę?
Nie. Publiczna dostępność adresu nie jest równoznaczna ze zgodą na przesyłanie informacji handlowych. Trzeba osobno ocenić podstawę przetwarzania danych z RODO oraz zgodę na kanał kontaktu z art. 398 PKE.
Czy art. 398 PKE ma zastosowanie do kontaktów B2B?
Tak. Przepis chroni każdego abonenta i użytkownika końcowego, a nie wyłącznie konsumenta. Dlatego firmowy e-mail, telefon służbowy i adres ogólny przedsiębiorcy również wymagają oceny na gruncie PKE.
Czy prawnie uzasadniony interes zastępuje zgodę na e-mail lub telefon?
Nie. Art. 6 ust. 1 lit. f RODO może w określonych warunkach legalizować przetwarzanie danych osobowych, ale nie zastępuje zgody wymaganej przez PKE na wykorzystanie konkretnego kanału do marketingu.
Czy kupiona baza leadów może być legalna?
Może, ale nabywca powinien zweryfikować źródło danych, treść i zakres zgód, możliwość ich udowodnienia oraz wykonanie obowiązku informacyjnego. Sama umowna deklaracja brokera o „zgodności z RODO” nie przenosi odpowiedzialności na sprzedawcę bazy.
Co zrobić po sprzeciwie albo wycofaniu zgody?
Należy niezwłocznie zatrzymać marketing w odpowiednim zakresie i umieścić dane na liście blokad. Informacja o rezygnacji musi dotrzeć także do call center, agencji i pozostałych dostawców realizujących kampanię.
Czy warto przeprowadzić audyt kampanii?
Tak. Kancelaria może ocenić źródła leadów, testy uzasadnionego interesu, klauzule informacyjne, treści zgód, umowy z brokerami danych oraz obsługę sprzeciwów. Jeżeli Państwa organizacja korzysta z kupowanych baz, automatyzacji sprzedaży albo zewnętrznego call center, warto sprawdzić te procesy przed kontrolą. Skontaktuj się z nami i umów audyt cold mailingu lub telemarketingu.
Podstawy i źródła
- Plan kontroli sektorowych UODO na rok 2026, 8 stycznia 2026 r.
- Decyzja Prezesa UODO z 16 lutego 2026 r., DS.523.1901.2022 (nieprawomocna).
- Decyzja Prezesa UODO z 16 października 2019 r., ZSPR.421.7.2019 (prawomocna).
- Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 17 czerwca 2025 r., sygn. akt II SA/Wa 1971/24 (nieprawomocny).
- Ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej, tekst ujednolicony na 7 lipca 2026 r.; art. 398, 400, 446 ust. 5 i 448.
- Rozporządzenie (UE) 2016/679 (RODO); art. 6, 7, 13–14 i 21.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna
Stan prawny na dzień 4 sierpnia 2026 r.
Autor:
Redaktor cyklu:
