Публічна адреса електронної пошти не є згодою, а відносини B2B не виключають PKE. Ми пояснюємо, як проводити пошук потенційних клієнтів після того, як план перевірок UODO на 2026 рік охопить маркетингові суб'єкти.
У 2026 році відділи продажів та маркетингу повинні переглянути практику зовнішніх продажів. Голова Управління із захисту персональних даних (UODO) включив «маркетингові суб’єкти» до плану галузевих перевірок на 2026 рік та оголосив про розслідування правової основи обробки даних у маркетингу. Однак це не означає припинення зовнішніх продажів. Це означає, що номер телефону або адреса електронної пошти, знайдені в CEIDG (Центральна реєстрація та інформація про бізнес), Національному судовому реєстрі (KRS), на веб-сайті або в обліковому записі соціальних мереж, не можуть автоматично вважатися згодою на пропозицію.
Які правила необхідно дотримуватися одночасно?
Законність кампанії оцінюється на двох рівнях: Закон про електронні комунікації (ECA) та GDPR. Дотримання лише одного з них недостатньо.
Стаття 398 Закону про захист персональних даних забороняє використання автоматизованих систем виклику або телекомунікаційного термінального обладнання для надсилання комерційної інформації, включаючи прямий маркетинг, без попередньої згоди абонента або кінцевого користувача. Це положення охоплює, серед іншого, електронну пошту, телефон, текстові повідомлення та обмін миттєвими повідомленнями. Воно також застосовується до відносин B2B. Надсилання пропозиції на адресу, таку як biuro@spolka.pl, загалом може не підпадати під дію GDPR, якщо адреса не ідентифікує фізичну особу, але все ж підпадає під вимоги Закону про захист персональних даних.
Однак GDPR розглядає питання про те, чи можуть оброблятися дані конкретної особи. Адреса, така як firstname.lastname@firma.pl, прямий номер телефону або професійний профіль, зазвичай вважаються персональними даними. Підставою для цього може бути згода або, у відповідних випадках, законний інтерес контролера відповідно до статті 6(1)(f) GDPR. Цей інтерес вимагає документального тесту на балансування. Варто зазначити, що навіть позитивний результат тесту не замінює згоди на використання електронної пошти або телефону, що вимагається Європейською патентною сертифікацією.
Більше про межі законного інтересу в маркетингу ми пишемо у статті «Маркетинг на основі законного інтересу – коли він не працює?».
Чи можете ви спочатку попросити згоди?
Проста публікація контактної інформації не є згодою на маркетинг. Перший «нейтральний» електронний лист або телефонний дзвінок є ризикованим, якщо він насправді має на меті представити пропозицію або викликати інтерес.
Коротко кажучи: у неостаточному рішенні Воєводського адміністративного суду у Варшаві від 17 червня 2025 року, справа II SA/Wa 1971/24, більшість суддівського складу постановили, що одноразовий контакт з підприємцем, дані якого були публічно доступні в CEIDG (Центральна реєстрація та інформація про бізнес), виключно з метою встановлення згоди, не є прямим маркетингом. Однак рішення стосувалося конкретної фактичної ситуації та скасованої статті 172 Закону про телекомунікації (заміненої PKE); воно також винесло окрему думку. Таким чином, воно не є загальною згодою на надсилання пропозиції в першому повідомленні. Більш детальне обговорення цього рішення можна знайти в окремому аналізі нашої юридичної фірми.
Найбезпечніший спосіб отримання згоди – це через вхідні канали, що використовуються підприємствами: через форму, реєстрацію на вебінар або розсилку, під час галузевого заходу або у відповідь на фактичний запит клієнта. Стаття 398, пункт 2 Закону про захист персональних даних дозволяє вважати надання електронної адреси згодою, але лише якщо одержувач надав її спеціально з метою отримання комерційної інформації, а не для регулярного контакту.
Що є наслідком рішення Голови Управління із захисту персональних даних?
Станом на 4 серпня 2026 року у публічній базі даних не було опубліковано жодного рішення Голови Управління із захисту персональних даних (UODO) про накладення безпосереднього штрафу за порушення статті 398 Закону про захист персональних даних (PKE) щодо холодної розсилки або холодних дзвінків. Санкції за це положення накладаються Головою Управління електронних комунікацій (UKE). Однак UODO перевіряє законність обробки даних, і його план перевірок на 2026 рік підтверджує, що маркетинг є сферою підвищеного інтересу для органу влади. Ви можете дізнатися більше про обсяг оголошених перевірок у нашому огляді плану UODO.
Найновішим рішенням UODO щодо пошуку потенційних клієнтів є неостаточне рішення Президента UODO від 16 лютого 2026 року, номер справи DS.523.1901.2022. Воно стосувалося компанії, яка створювала базу даних інформації про підприємців з публічних джерел, включаючи CEIDG, KRS та GUS. Справу було розпочато зі скарги особи на обробку її персональних даних підприємцем з порушенням закону, зокрема невиконання зобов'язання щодо надання інформації, зазначеного у статті 14 GDPR. Президент UODO відмовився задовольнити скаргу, оскільки контролер продемонстрував виконання зобов'язання щодо надання інформації згідно зі статтею 14 GDPR, включаючи надання інформації про джерело даних, одержувачів, законні інтереси та права особи.
Це рішення не легалізує автоматично надсилання пропозицій щодо даних з публічних реєстрів. Сам постачальник бази даних заявив, що не надає клієнтам правових підстав для маркетингового використання даних. Відповідно, покупець бази даних повинен самостійно оцінити підстави для використання GDPR, виконати зобов'язання щодо розкриття інформації при першому контакті та, незалежно від цього, отримати згоду, що вимагається PKE.
У свою чергу, остаточним рішенням Голови Управління захисту персональних даних від 16 жовтня 2019 року, номер справи ZSPR.421.7.2019, на підприємця було накладено штраф у розмірі 201 559,50 злотих за перешкоджання відкликанню згоди та подальшій обробці даних осіб, які запитують припинення обробки.
Практичний висновок залишається в силі: відповідь «будь ласка, більше мені не пишіть» має спровокувати просту блокаду подальшого маркетингу в усіх системах та з усіма виконавцями кампаній.
Як підготувати кампанію до аудиту?
Перш ніж запускати кампанію, компанія повинна мати змогу довести весь життєвий цикл даних та отримати згоду. Загальної гарантії постачальника про те, що база даних «відповідає GDPR», недостатньо. Якщо ви покупець бази даних або створили її самостійно та цікавитеся, чи можете ви використовувати її для прямого маркетингу:
- задокументуйте зміст, дату та джерело згоди, охоплені канали та організацію, якій вона була надана;
- перевірити форми постачальника бази даних, історію змін пунктів та можливість демонстрації згоди для конкретного рекламодавця;
- підготувати пункт зі статті 14 GDPR щодо даних, отриманих опосередковано, та тест на законні інтереси;
- вести єдиний реєстр згоди, відкликання заявок та заперечень, а також список заблокованих осіб, щоб запобігти повторному додаванню особи до кампанії;
- забезпечити негайну передачу скасованих запитів між CRM, кол-центром, агентством та постачальником інструментів розсилки;
- встановити ролі всіх учасників кампанії та відповідно регулювати довіру даних або спільне адміністрування.
Які штрафи передбачені за відсутність згоди?
За порушення статті 398 ЄПК Президент UKE може накласти штраф у розмірі до 3% від доходу, отриманого за попередній календарний рік, або до 1 мільйона злотих, залежно від того, що більше. Незалежно від цього, незаконна обробка даних може призвести до порушення провадження Президентом UODO та, як наслідок, до накладення санкцій згідно з GDPR. Порушення правил комерційної інформації також може вважатися актом недобросовісної конкуренції та проступком.
Найчастіші запитання: холодна розсилка та телемаркетинг у 2026 році.
Чи вважається адреса електронної пошти з CEIDG або веб-сайту компанії згодою?
Ні. Публічний доступ до адреси не є згодою на надсилання комерційної інформації. Підстави для обробки даних згідно з GDPR та згода на канал зв’язку згідно зі статтею 398 Закону про захист персональних даних повинні оцінюватися окремо.
Чи застосовується стаття 398 PKE до контактів B2B?
Так. Регламент захищає кожного абонента та кінцевого користувача, а не лише споживача. Тому адреса електронної пошти компанії, номер робочого телефону та загальна адреса також потребують оцінки згідно з EPC.
Чи замінює законний інтерес згоду на електронну пошту або телефонний зв'язок?
Ні. Стаття 6(1)(f) GDPR може легалізувати обробку персональних даних за певних умов, але вона не замінює згоди, необхідної PKE для використання певного маркетингового каналу.
Чи може придбана база даних потенційних клієнтів бути законною?
Можливо, але покупець повинен перевірити джерело даних, зміст та обсяг згод, можливість їх доведення та дотримання зобов'язання щодо розкриття інформації. Договірна заява брокера про «відповідність GDPR» сама по собі не переносить відповідальність на продавця бази даних.
Що робити після заперечення або відкликання згоди?
Маркетингову діяльність необхідно негайно припинити у відповідному обсязі, а дані внести до списку блокування. Повідомлення про відмову також необхідно надіслати до кол-центрів, агентств та інших постачальників, які реалізують кампанію.
Чи варто проводити аудит кампанії?
Так. Наша юридична фірма може оцінити джерела лідів, тести на законні інтереси, інформаційні пункти, умови згоди, угоди з брокерами даних та обробку заперечень. Якщо ваша організація використовує придбані бази даних, автоматизацію продажів або зовнішній кол-центр, варто переглянути ці процеси перед аудитом. Зв’яжіться з нами та заплануйте аудит холодної поштової розсилки або телемаркетингу.
Основи та джерела
- План галузевих інспекцій UODO на 2026 рік, 8 січня 2026 року.
- Рішення Голови Управління із захисту персональних даних від 16 лютого 2026 року, DS.523.1901.2022 (ще не остаточне).
- Рішення Голови Управління захисту персональних даних від 16 жовтня 2019 року, ZSPR.421.7.2019 (остаточне).
- Рішення Воєводського адміністративного суду у Варшаві від 17 червня 2025 року, справа II SA/Wa 1971/24 (не остаточне).
- Закон від 12 липня 2024 року – Закон про електронні комунікації, консолідований текст станом на 7 липня 2026 року; статті 398, 400, 446 пункти 5 та 448.
- Регламент (ЄС) 2016/679 (GDPR); статті 6, 7, 13-14 та 21.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією
Правовий статус станом на 4 серпня 2026 року
Автор:
Редактор серії:
