Cold mail na adres ogólny firmy — gdzie kończy się bezpieczna praktyka

Najczęstsze zdanie, jakie słyszę przy rozmowie o zgodności kampanii, brzmi: wysyłamy tylko na adresy ogólne, więc RODO nas nie dotyczy. Zdanie jest w połowie prawdziwe i ta prawdziwa połowa dotyczy mniej istotnego problemu. Adres biuro@firma.pl rzeczywiście zwykle nie jest daną osobową, więc odpada spora część obowiązków z rozporządzenia. Nie odpada natomiast to, co decyduje o legalności samej wysyłki.

Art. 398 PKE, obowiązujący od 10 listopada 2024 roku, w ogóle nie posługuje się pojęciem danych osobowych. Jego kryterium jest techniczno-podmiotowe: chroni abonenta i użytkownika końcowego, a użytkownikiem w rozumieniu art. 2 pkt 85 PKE jest podmiot, nie osoba fizyczna. Skrzynka biuro@firma.pl należy do spółki, spółka jest podmiotem i tym samym mieści się w zakresie ochrony.

Poniżej rozkładam problem na dwie warstwy, które trzeba przejść osobno, i pokazuję, gdzie kończy się to, co da się potwierdzić materiałem, a zaczyna praktyka rynkowa. Ten tekst nie jest poradą prawną.

Dwie warstwy, których nie da się zamienić jedną na drugą

Warstwa pierwsza to PKE i pytanie o kanał. Czy wolno użyć telekomunikacyjnego urządzenia końcowego, żeby przesłać do tego podmiotu informację handlową. Odpowiedź zależy od tego, czy adresat uprzednio wyraził zgodę, i nie zależy od tego, czy po drugiej stronie stoi osoba fizyczna.

Warstwa druga to RODO i pytanie o dane. Czy wolno przetwarzać dane osobowe, które zebrałeś, żeby tę wiadomość wysłać. Podstawą jest zwykle art. 6 ust. 1 lit. f RODO w związku z motywem 47, którego zdanie ostatnie wprost dopuszcza uznanie marketingu bezpośredniego za prawnie uzasadniony interes.

Te warstwy są niezależne i przechodzi się je obie. Uzasadniony interes z RODO jest wystarczającą podstawą przetwarzania, ale nie zastępuje zgody z art. 398 PKE na sam kanał. To reguła powtarzana przez wszystkie źródła, na których opieram ten tekst, i jednocześnie najczęściej mylona rzecz w rozmowach o zgodności. Zespół, który ma przygotowany test równowagi według EDPB, potrafi być przekonany, że ma odhaczoną całość, podczas gdy odhaczył jedną z dwóch warstw.

Praktyczna konsekwencja przy adresie ogólnym spółki wygląda tak: odpada obowiązek informacyjny z art. 14 RODO, bo nie ma osoby, którą trzeba by poinformować, a nie odpada wymóg zgody z art. 398 PKE. Zamiana adresu imiennego na ogólny zmniejsza więc obciążenie dokumentacyjne, a nie ryzyko podstawowe.

Sam test równowagi z EDPB Guidelines 1/2024, przyjętych 8 października 2024 roku, też jest mniej wygodny, niż się zespołom wydaje. Jest trzyetapowy i musi być udokumentowany przed startem kampanii, a nie odtworzony po fakcie. Dwa jego punkty psują najczęściej używane argumenty. Punkt 52 przesądza, że praktyka rynkowa w sektorze nie kreuje rozsądnego oczekiwania osoby, więc zdanie „wszyscy w naszej branży tak robią” nie ma wartości dowodowej. Punkt 53 przesądza, że samo spełnienie obowiązku informacyjnego nie legitymizuje przetwarzania, więc dobrze napisana klauzula w stopce nie zastępuje podstawy prawnej.

Dlaczego adres ogólny i tak wchodzi pod art. 398 PKE

Konstrukcja przepisu nie zostawia tu dużego pola. Zakaz z ustępu 1 dotyczy używania automatycznych systemów wywołujących i telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej do abonenta lub użytkownika końcowego bez uprzedniej zgody. Abonentem jest strona umowy o świadczenie usług komunikacji elektronicznej, czyli w przypadku firmowej skrzynki sama spółka.

Do 9 listopada 2024 roku dało się bronić przeciwnej tezy, bo art. 10 UŚUDE chronił wyłącznie oznaczonego odbiorcę będącego osobą fizyczną, a art. 172 PT był pisany pod telefonię. Ta linia obrony zniknęła razem z oboma przepisami. Dziś dominująca wykładnia jest jednoznaczna: zgoda jest wymagana także dla adresów ogólnych.

Widać to dobrze na typowej polskiej konfiguracji. Dostawca automatyki przemysłowej buduje listę pięciuset zakładów spożywczych i wysyła na adresy z zakładek Kontakt, bo nie chce dotykać danych osobowych. Z punktu widzenia RODO decyzja jest sensowna i faktycznie upraszcza dokumentację. Z punktu widzenia PKE nic się nie zmienia, bo każda z tych pięciuset skrzynek należy do abonenta objętego ochroną. Firma redukuje jedną ekspozycję i zostawia drugą nietkniętą, przy czym to właśnie ta druga jest opatrzona sufitem kary z art. 446 ust. 5 PKE.

Warto zauważyć, że polski ustawodawca nie musiał tak zdecydować. Art. 13 ust. 5 dyrektywy 2002/58/WE nakazuje twardy opt-in tylko wobec abonentów będących osobami fizycznymi, a wobec pozostałych każe jedynie zapewnić wystarczającą ochronę uzasadnionych interesów. Francja poszła w drugą stronę i CNIL wprost wyłącza adresy bezosobowe typu info@ czy contact@ należące do osób prawnych spod wymogu zgody. Holandia dopuszcza dla osób prawnych model opt-out. Polska wybrała maksimum, więc przenoszenie zagranicznych praktyk na krajową wysyłkę jest najkrótszą drogą do kłopotów.

Kiedy adres ogólny jest daną osobową, a kiedy nie

Rozgraniczenie jest prostsze, niż się wydaje, i ma jeden ważny wyjątek.

Adres jan.kowalski@firma.pl jest bezspornie daną osobową i uruchamia pełny reżim rozporządzenia, w tym obowiązek informacyjny z art. 14 RODO wykonywany najpóźniej przy pierwszej komunikacji. Adres biuro@firma.pl co do zasady daną osobową nie jest, bo nie pozwala zidentyfikować konkretnego człowieka.

Osobno trzeba pilnować pochodzenia rekordu. Dane z CEIDG i KRS są jawne i wolno je pozyskiwać, ale jawność rejestru nie oznacza dowolności celu. Potrzebna jest własna podstawa przetwarzania, wykonany obowiązek informacyjny tam, gdzie dane identyfikują osobę, i osobno zgoda z art. 398 PKE na kanał. Kosztowność tej trzeciej warstwy pokazuje sprawa Bisnode Polska: decyzja Prezesa UODO z 15 marca 2019 roku dotyczyła danych pozyskanych właśnie z CEIDG, KRS i REGON, a kara wyniosła 943 470 zł. To był stan sprzed PKE i dotyczył wyłącznie warstwy informacyjnej z RODO, więc nie przenosi się wprost na dzisiejszą wysyłkę, ale dobrze pokazuje, jak organ czyta argument o publicznej dostępności danych.

Wyjątek dotyczy jednoosobowej działalności gospodarczej, w której nazwa firmy zawiera imię i nazwisko przedsiębiorcy, co jest regułą, a nie rzadkością. Adres kontakt@jankowalski-uslugi.pl identyfikuje osobę fizyczną równie dobrze jak adres imienny. W polskim rynku B2B, gdzie jednoosobowe działalności stanowią olbrzymią część bazy, to nie jest przypadek marginalny i powinien być odfiltrowany na etapie budowania listy, a nie odkrywany po wysyłce. Jeżeli twoje źródło danych kontaktowych nie zwraca formy prawnej podmiotu, dokładasz sobie klasę ryzyka, której nie widzisz w raporcie z kampanii.

Publiczna dostępność adresu nie jest zgodą

To najczęstszy błąd interpretacyjny w całym temacie i jednocześnie ten, który ma najmocniejsze potwierdzenie.

Art. 398 ust. 2 PKE mówi, że zgoda może być wyrażona przez udostępnienie identyfikującego adresu elektronicznego w celu przesyłania informacji handlowej na podany adres. Klauzula celu jest tu istotą przepisu. Adres w zakładce Kontakt służy obsłudze klientów, rekrutacji, reklamacjom i kontaktom z partnerami. Wpis w CEIDG czy w KRS służy realizacji obowiązku rejestrowego. Żaden z tych celów nie jest celem przesyłania informacji handlowej.

Potwierdza to decyzja Prezesa UOKiK nr DDK 11/2011: umieszczenie danych kontaktowych w źródłach publicznych nie oznacza zgody na ich wykorzystanie marketingowe. Analogicznie orzekł niemiecki Bundesverwaltungsgericht w wyroku z 29 stycznia 2025 roku, 6 C 3.23, stwierdzając, że dostępność numeru w książce branżowej lub na stronie internetowej nie kreuje domniemanej zgody. Ten drugi wyrok jest o tyle ciekawy, że zapadł w systemie, który dla telefonu B2B dopuszcza zgodę domniemaną; sąd zawęził ją do sytuacji, w których istnieją rzeczowe przesłanki konkretnego zainteresowania ofertą po stronie adresata.

W tym samym wyroku pada teza, która ma dalszy zasięg niż sprawa, w której zapadła: nie może istnieć uzasadniony interes w przetwarzaniu, którego jedynym celem jest działanie samo w sobie bezprawne. Przeniesione na polski grunt oznacza to, że nie da się zbudować poprawnego testu równowagi z EDPB Guidelines 1/2024 pod kampanię, która narusza art. 398 PKE. Warstwa RODO nie ratuje warstwy PKE, tylko się o nią wywraca.

Gradacja ryzyka stosowana przez rynek i czym ona nie jest

Zespoły, które robią outbound w Polsce, posługują się zwykle trzystopniową gradacją. Najniższe ryzyko przypisują wysyłce na adres ogólny osoby prawnej, przy treści ściśle związanej z profilem działalności adresata, z pełną stopką i działającą listą wykluczeń. Średnie przypisują adresowi imiennemu pracownika osoby prawnej. Najwyższe adresowi imiennemu jednoosobowej działalności albo adresowi prywatnemu używanemu służbowo.

Ta gradacja jest użyteczna operacyjnie i nie jest kategorią ustawową. W tekście art. 398 PKE nie ma stopni ryzyka, jest zakaz i wyjątek w postaci uprzedniej zgody. Gradacja opisuje prawdopodobieństwo, że sprawa wyjdzie na jaw i że ktoś zechce ją ciągnąć, a nie to, czy przepis został naruszony. Nazywanie najniższego stopnia praktyką bezpieczną jest nadużyciem, którego materiał źródłowy nie potwierdza, i konsekwentnie go w tym tekście unikam.

Kanały, którymi ryzyko realnie się materializuje, są trzy i mają zupełnie różne progi uruchomienia. Zawiadomienie pokrzywdzonego prowadzi do wykroczenia z art. 448 PKE, ściganego na żądanie. Skarga do UODO dotyczy warstwy danych i ma sens tylko przy adresach identyfikujących osobę. Powództwo konkurenta z ustawy o zwalczaniu nieuczciwej konkurencji, oparte na art. 398 ust. 4 PKE, nie wymaga ani skargi odbiorcy, ani decyzji organu, i w polskich realiach jest kanałem najbardziej niedoszacowanym.

Jeżeli gradacja ryzyka wydaje się niewygodna, alternatywą jest przesunięcie części wolumenu na ścieżki, przy których zgoda z art. 398 ust. 2 PKE powstaje w sposób niesporny. Formularz na stronie, materiał do pobrania, zapis na newsletter, kontakt zainicjowany przez samego prospekta, targi i konferencje z pisemną zgodą, rekomendacja z potwierdzeniem od osoby polecającej. Każda z nich daje mniej kontaktów miesięcznie niż zakup bazy, ale każda zostawia dowód, który da się pokazać. Osobną kwestią jest status wiadomości na LinkedIn, którego materiał źródłowy nie rozstrzyga i którego nie rozstrzygnął dotąd żaden organ ani sąd; traktowanie tego kanału jako pewnego obejścia problemu mailowego jest założeniem, nie ustaleniem.

Z perspektywy operacyjnej z tej gradacji wynika kilka decyzji, które i tak warto podjąć niezależnie od prawa: oddzielenie jednoosobowych działalności od spółek na etapie budowania listy, pełna stopka z danymi nadawcy i działającym mechanizmem sprzeciwu, jedna centralna lista sprzeciwów synchronizowana ze wszystkimi sekwencerami. Ostatnie działa też poza prawem, bo chroni przed ponownym kontaktem z osobą, która już raz odmówiła, a to jedno z najdroższych źródeł skarg.

Kwestia sporna, w której nikt nie zabrał głosu

Stan jest następujący i wart jest powtórzenia bez łagodzenia: nie ma oficjalnego stanowiska Prezesa UKE ani Prezesa UODO w sprawie kwalifikacji adresów ogólnych osób prawnych pod art. 398 PKE. Nie ma też publicznie ogłoszonej decyzji Prezesa UKE wydanej na podstawie art. 446 ust. 5 PKE, stan na sierpień 2026.

Wykładnia dominująca mówi, że zgoda jest wymagana także dla adresów ogólnych, bo spółka jest podmiotem, a przepis nie różnicuje typów skrzynek. Wykładnia mniejszościowa broni tezy, że adres opublikowany jawnie po to, żeby się z firmą kontaktować w sprawach handlowych, mieści się w art. 398 ust. 2, bo cel udostępnienia obejmuje kontakt handlowy. Argument nie jest bezsensowny, ale opiera się na rozszerzeniu klauzuli celu, którą decyzja DDK 11/2011 czyta wąsko.

Kto planuje kampanię, ten podejmuje decyzję nie o tym, która wykładnia jest słuszna, tylko o tym, którą jest gotów obronić, gdyby przyszło co do czego, i jaką ekspozycję finansową akceptuje przy sufitach z art. 446 ust. 5, czyli 3 procent przychodu albo milion złotych, kwota wyższa. To jest rozmowa dla zarządu, nie dla zespołu SDR, i powinna zostać zapisana wraz z uzasadnieniem. Dokumentacja, z której wynika, że firma znała spór i świadomie wybrała stanowisko, wygląda w postępowaniu zupełnie inaczej niż brak jakiegokolwiek śladu, że ktokolwiek się nad tym zastanawiał.