Art. 398 PKE zmienił zasady cold mailingu. Co dokładnie

Na przeglądzie sekwencji w lutym 2026 zobaczyłem stopkę powołującą się na art. 10 ustawy o świadczeniu usług drogą elektroniczną. Przepis nie obowiązywał wtedy od piętnastu miesięcy. Firma wysyłała z tego szablonu kilka tysięcy wiadomości miesięcznie, dział prawny zaakceptował treść stopki w 2022 roku i od tamtej pory nikt do niej nie wrócił.

10 listopada 2024 roku weszła w życie ustawa z 12 lipca 2024 r. — Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221. Trzy miesiące od ogłoszenia, bez odrębnego okresu przejściowego dla marketingu. Ustawa wprowadzająca, Dz.U. 2024 poz. 1222, uchyliła w całości Prawo telekomunikacyjne z 2004 roku, więc art. 172 PT utracił moc, a osobno uchylone zostały art. 10 i art. 24 ustawy o świadczeniu usług drogą elektroniczną. Cały reżim zgody marketingowej przeniósł się do jednego przepisu.

Poniżej opisuję, co ten przepis realnie zmienił w pracy zespołu outboundowego i gdzie kończy się to, co da się powiedzieć z pewnością. Tekst nie stanowi porady prawnej i nie zastępuje analizy konkretnej kampanii przez prawnika.

Co dokładnie zakazuje art. 398 PKE

Ustęp 1 zakazuje używania dwóch rzeczy: automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych, w szczególności w ramach korzystania z usług komunikacji interpersonalnej. Zakaz dotyczy używania ich do celów przesyłania informacji handlowej w rozumieniu ustawy o świadczeniu usług drogą elektroniczną, w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę.

Warto zwrócić uwagę na konstrukcję. Zakazane jest używanie środka komunikacji, a nie samo napisanie oferty. To dlatego ten przepis dotyczy w równym stopniu wysyłki mailowej i połączenia telefonicznego, a jego naruszenie następuje w momencie użycia kanału, nie w momencie przeczytania wiadomości przez odbiorcę. Definicję informacji handlowej PKE nadal bierze z UŚUDE, bo sama ta ustawa obowiązuje; zniknęły z niej wyłącznie art. 10 i art. 24.

Ustęp 2 opisuje jeden sposób wyrażenia zgody: przez udostępnienie przez abonenta lub użytkownika końcowego identyfikującego go adresu elektronicznego w celu przesyłania informacji handlowej na podany adres. Klauzula celu jest tu całą treścią przepisu i wraca w każdym sporze o adresy zebrane ze stron firmowych.

Ustęp 3 zastrzega, że używanie tych środków nie może odbywać się na koszt użytkownika końcowego lub abonenta. Ustęp 4 kwalifikuje działanie z ustępu 1 jako czyn nieuczciwej konkurencji w rozumieniu ustawy o zwalczaniu nieuczciwej konkurencji, o czym niżej, bo to najmniej doceniany fragment tego przepisu.

Do samego uzyskania zgody art. 400 PKE każe stosować odpowiednio przepisy o ochronie danych osobowych. Praktycznie oznacza to standard z art. 4 pkt 11 i art. 7 RODO: zgoda dobrowolna, konkretna, świadoma, jednoznaczna, w każdej chwili odwoływalna, a przede wszystkim wykazywalna. Ciężar wykazania spoczywa na wysyłającym, więc zgoda, której nie da się odtworzyć z logu, w praktyce nie istnieje.

Dlaczego relacje B2B są objęte, choć dyrektywa tego nie wymagała

Zakres podmiotowy wynika z definicji w art. 2 PKE. Abonent to użytkownik będący stroną umowy o świadczenie usług komunikacji elektronicznej (pkt 1). Użytkownik to podmiot korzystający z publicznie dostępnej usługi komunikacji elektronicznej (pkt 85), a użytkownik końcowy to ten sam podmiot korzystający z niej dla zaspokojenia własnych potrzeb (pkt 86). Ustawodawca użył słowa „podmiot”, nie „osoba fizyczna”, i wniosek piśmiennictwa jest w tej sprawie jednolity: ochroną objęte są także spółki i jednostki organizacyjne.

Nie musiało tak być. Art. 13 dyrektywy 2002/58/WE w ustępie 5 przesądza, że twardy opt-in z ustępów 1 i 3 stosuje się do abonentów będących osobami fizycznymi, a wobec pozostałych państwa członkowskie mają jedynie zapewnić wystarczającą ochronę uzasadnionych interesów. Polska wybrała maksimum i objęła zgodą wszystkie podmioty. Stąd bierze się rozjazd między krajami, przez który nie da się prowadzić jednej sekwencji na całą Europę bez segmentacji per jurysdykcja i per typ adresata.

Dla zespołu, który wysyła wyłącznie na polski rynek, konsekwencja jest jedna: nie istnieje w art. 398 PKE żadne wyłączenie B2B. Argument „to kontakt służbowy, firma do firmy” nie ma oparcia w tekście przepisu.

Co realnie zmieniło się wobec stanu sprzed 10 listopada 2024

Z tego zestawienia wychodzą trzy zmiany, które mają operacyjne skutki.

Pierwsza to konsolidacja dwóch reżimów w jeden. Przez lata trwał spór, czy kampania mailowa wymaga dwóch odrębnych zgód, bo dwa przepisy regulowały nakładające się stany faktyczne z różnych stron. Ten spór się skończył, bo został jeden przepis. Praktycznie oznacza to prostszą dokumentację i jeden checkbox zamiast dwóch, przy czym zgody per kanał nadal trzeba zbierać osobno, skoro art. 398 obejmuje i mail, i telefon.

Druga i najważniejsza dla outboundu to rozszerzenie ochrony mailowej na osoby prawne. Dawny art. 10 UŚUDE chronił wyłącznie oznaczonego odbiorcę będącego osobą fizyczną. Adres ogólny spółki dawał się więc bronić argumentem, że nie ma po drugiej stronie osoby fizycznej, a art. 172 PT pisany był pod telefonię i jego zastosowanie do maila bywało kwestionowane. Po 10 listopada 2024 ten argument stracił podstawę, bo spółka jest podmiotem, a jej skrzynka należy do abonenta. Konsekwencje dla wysyłki na adresy ogólne typu biuro@ są na tyle rozległe, że opisuję je osobno.

Trzecia to usunięcie z hipotezy słowa „niezamówionej”. Stary art. 10 UŚUDE zakazywał przesyłania niezamówionej informacji handlowej, co pozwalało prowadzić spory o to, kiedy informacja jest zamówiona. Dziś jedynym kwalifikatorem jest brak uprzedniej zgody, a rozkład ciężaru dowodu wynika z art. 400 PKE i art. 7 RODO.

Żadna z tych zmian nie dotknęła warstwy danych osobowych, bo art. 398 PKE reguluje wyłącznie kanał. Obowiązki wynikające z rozporządzenia biegną równolegle i mają własne terminy, z których najczęściej pomijany jest obowiązek informacyjny z art. 14 RODO, wykonywany przy pierwszej komunikacji z osobą.

Zgody zebrane przed listopadem 2024

Art. 100 ustawy wprowadzającej stanowi, że zgody zebrane na podstawie przepisów dotychczasowych zachowują ważność, jeżeli pierwotny sposób wyrażenia zgody odpowiada warunkom PKE. Nie ma więc obowiązku ponownego zbierania zgód. Jest obowiązek audytu, bo warunek jest warunkowy.

W praktyce audyt sprowadza się do sprawdzenia trzech rzeczy w każdym historycznym źródle zgód: jak brzmiała klauzula, czy dotyczyła tego kanału, którego dziś używasz, i czy da się odtworzyć dowód, kto i kiedy ją wyraził. Zgoda zebrana pod hasłem „wyrażam zgodę na otrzymywanie informacji handlowych” bez wskazania kanału jest problemem, jeżeli używasz jej dziś do dzwonienia. Zgoda, po której nie został log z datą, treścią i identyfikatorem, jest problemem zawsze, niezależnie od jej treści.

Największe zaskoczenie przy takich audytach dotyczy zwykle baz odziedziczonych: kontaktów z przejętej spółki, list z targów sprzed pięciu lat, eksportów od byłego partnera. Historia zgody kończy się tam, gdzie kończy się dokumentacja, a nie tam, gdzie kończy się pamięć osoby, która bazę przynosiła. Jeżeli nie da się wskazać, w jakim formularzu i pod jaką klauzulą rekord powstał, to z punktu widzenia art. 400 PKE i art. 7 RODO jest to baza bez zgód, choćby wszyscy w firmie byli pewni, że kiedyś zgody były.

Sankcje: trzy procent przychodu albo milion złotych, kwota wyższa

Art. 446 ust. 5 PKE przewiduje za niewypełnianie obowiązku uzyskania zgody z art. 398 karę nakładaną przez Prezesa UKE do 3 procent przychodu z poprzedniego roku kalendarzowego lub do 1 000 000 zł, przy czym zastosowanie ma kwota wyższa. Ta konstrukcja działa asymetrycznie. Dla firmy o przychodzie 20 mln zł sufitem jest milion, bo 3 procent to 600 tysięcy. Dla firmy o przychodzie 200 mln zł sufitem jest 6 mln. Miarkowanie kary przez pryzmat możliwości finansowych podmiotu jest w tym trybie wyłączone.

Art. 446 ust. 8 pozwala Prezesowi UKE ustalić podstawę wymiaru szacunkowo, gdy brakuje danych o przychodzie, przy czym nie mniej niż 500 000 zł. Art. 444 ust. 3 przesądza, że karę można nałożyć także wtedy, gdy podmiot zaprzestał naruszenia albo naprawił szkodę, więc wyłączenie kampanii po otrzymaniu pisma nie zamyka sprawy. Osobno art. 448 PKE kwalifikuje przesyłanie informacji handlowych bez zgody jako wykroczenie zagrożone grzywną, ścigane na żądanie pokrzywdzonego.

Warto zestawić te sufity z tym, co realnie było nakładane, pamiętając o zastrzeżeniu, że wszystkie te decyzje zapadły w poprzednim stanie prawnym i dotyczyły konsumentów.

Dwie ostatnie pozycje pokazują rzecz, o której zarządy dowiadują się zwykle za późno: UOKiK karze osoby zarządzające odrębnie od spółki, a kwota z takiej decyzji obciąża prywatny majątek, nie budżet marketingu. Odpowiedzialność menedżerska w telemarketingu jest realna i nie znika wraz z zamknięciem projektu.

Czyn nieuczciwej konkurencji, czyli najbardziej niedoszacowany kanał ryzyka

Art. 398 ust. 4 przenosi naruszenie na grunt ustawy o zwalczaniu nieuczciwej konkurencji, co otwiera drogę roszczeniom z jej art. 18: żądaniu zaniechania, usunięcia skutków i odszkodowania. Kluczowa różnica polega na tym, kto może to uruchomić. Nie odbiorca wiadomości, nie organ nadzoru, tylko konkurent, który uzna, że wysyłasz do jego rynku bez zgód i przez to konkurujesz na nierównych warunkach.

Ten kanał nie wymaga decyzji Prezesa UKE ani skargi do UODO. Nie wymaga też, żeby ktokolwiek poczuł się pokrzywdzony wiadomością. Wystarczy, że konkurent ma dowód wysyłki, a ten w outboundzie jest trywialny do zdobycia: własna skrzynka pracownika albo skrzynka podstawiona w tym samym segmencie.

Nie znam publicznie opisanego polskiego wyroku opartego wprost na art. 398 ust. 4 PKE, więc traktuję to jako ryzyko dobrze osadzone w tekście ustawy, a nie potwierdzone praktyką sądową. Warto natomiast zauważyć, że w Niemczech, gdzie analogiczna konstrukcja z § 7 UWG działa od lat, egzekwowanie idzie głównie przez upomnienia konkurentów, a nie przez organ. Polski ustawodawca zbudował podobny mechanizm i nie ma powodu zakładać, że pozostanie martwy.

W praktyce kanały materializacji ryzyka są trzy: zawiadomienie pokrzywdzonego prowadzące do wykroczenia z art. 448 PKE, skarga do UODO dotycząca warstwy danych osobowych oraz powództwo konkurenta z ustawy o zwalczaniu nieuczciwej konkurencji. Pierwszy jest najczęstszy, trzeci najkosztowniejszy i najmniej brany pod uwagę przy szacowaniu ryzyka kampanii.

Czego po niespełna dwóch latach obowiązywania nadal nie wiadomo

Stan na sierpień 2026: nie znaleziono publicznie ogłoszonej decyzji Prezesa UKE wydanej na podstawie art. 446 ust. 5 PKE. Da się to czytać dwojako i obie lektury są uprawnione, bo brak publikacji nie jest dowodem braku postępowań. Budowanie planu wysyłkowego na założeniu, że skoro dotąd nikt nie dostał kary, to przepis jest martwy, jest zakładem, nie analizą.

Otwarta pozostaje kwalifikacja adresów ogólnych osób prawnych. Brak oficjalnego stanowiska Prezesa UKE i Prezesa UODO. Wykładnia dominująca mówi, że zgoda jest wymagana także dla nich; wykładnia mniejszościowa broni tezy, że adres opublikowany jawnie po to, żeby się z firmą kontaktować w sprawach handlowych, mieści się w art. 398 ust. 2. Rozstrzygnięcia organu nie ma i dopóki go nie będzie, każdy, kto twierdzi, że wie na pewno, wychodzi poza materiał.

Nierozstrzygnięty jest też status wiadomości na LinkedIn, czyli pytanie, czy InMail albo wiadomość do osoby już połączonej jest używaniem telekomunikacyjnego urządzenia końcowego w ramach usługi komunikacji interpersonalnej. Nie ma orzecznictwa ani stanowisk organów, a znaczenie praktyczne dla polskiego outboundu jest ogromne, bo od tego zależy status całej warstwy kanałowej, którą wiele zespołów traktuje dziś jako obejście problemu mailowego. Kto na tym kanale opiera plan, ten powinien wiedzieć, że poza niepewnością prawną ma jeszcze warstwę regulaminową i realne ryzyko utraty konta, niezależne od PKE. Osobnym pytaniem jest, czy wolno zadzwonić po to, żeby zapytać o zgodę; tu spór też trwa, ale przynajmniej mamy stanowiska organów z poprzedniego reżimu.

Jedno rozstrzygnięcie jest natomiast czyste. Art. 398 nie ma progu wolumenowego. Pojedyncza wiadomość wysłana bez uprzedniej zgody wyczerpuje hipotezę tego przepisu tak samo jak wysyłka do dwustu tysięcy adresów. Wolumen wpływa na wymiar kary i na prawdopodobieństwo, że sprawa w ogóle wyjdzie na jaw, ale nie na to, czy do naruszenia doszło. Zespół, który tłumaczy sobie ryzyko małą skalą, myli prawdopodobieństwo wykrycia z legalnością.