Obowiązek informacyjny z art. 14 RODO w pierwszej wiadomości

Najpopularniejsza stopka w polskim cold mailu składa się z jednego zdania: „Twoje dane pozyskaliśmy ze źródeł publicznie dostępnych, jeśli nie chcesz otrzymywać wiadomości, napisz”. To zdanie nie realizuje obowiązku z art. 14 RODO nawet w połowie. Brakuje w nim administratora, celu, podstawy prawnej, konkretnego źródła, okresu przechowywania i wyodrębnionej informacji o prawie sprzeciwu.

Rzecz w tym, że przy prospectingu ten obowiązek nie ma wersji odroczonej. Art. 14 ust. 3 RODO daje trzy terminy i przy cold mailu wiąże najkrótszy z nich, czyli pierwsza komunikacja z osobą. Wiadomość, w której klauzuli nie ma, jest wiadomością wysłaną z naruszeniem, niezależnie od tego, co znajdzie się w kolejnym kroku sekwencji.

Poniżej rozkładam terminy, opisuję sprawę, która przesądziła o niedostępności wyjątku, i podaję gotowe brzmienie klauzuli w wersji pełnej i skróconej wraz z komentarzem, czego w nich świadomie nie ma. Nie jest to porada prawna, tylko opis stanu, który da się wyczytać z przepisów i z rozstrzygnięć organu.

Trzy terminy z art. 14 ust. 3 i ten, który obowiązuje przy cold mailu

Art. 14 RODO dotyczy sytuacji, w której dane pozyskano ze źródła innego niż osoba, której dotyczą, czyli dokładnie tego, co robi każdy zespół outboundowy. Ustęp 3 wyznacza trzy terminy wykonania obowiązku i stosuje się je rozłącznie, wybierając ten, który upływa najwcześniej.

Pierwszy to termin ogólny: najpóźniej w ciągu miesiąca od pozyskania danych. Drugi dotyczy sytuacji, w której dane mają służyć komunikacji z osobą, i wtedy obowiązek trzeba wykonać najpóźniej przy pierwszej komunikacji. Trzeci dotyczy ujawnienia danych innemu odbiorcy i wiąże najpóźniej przy pierwszym takim ujawnieniu.

Przy cold mailu drugi termin wyprzedza pozostałe zawsze, bo cały sens pozyskania rekordu polega na tym, żeby się z tą osobą skontaktować. Miesięczne okno, na które powołują się zespoły planujące wysłanie klauzuli „przy okazji kolejnego maila”, po prostu nie ma zastosowania. Przy telefonie działa ta sama zasada, więc obowiązek trzeba wykonać w otwarciu rozmowy i uzupełnić pełną klauzulą w mailu wysłanym zaraz po niej.

Obowiązek dotyczy tych rekordów, które identyfikują osobę fizyczną, czyli w praktyce wszystkich adresów imiennych oraz adresów jednoosobowych działalności zawierających w nazwie imię i nazwisko. Przy adresie ogólnym spółki obowiązku nie ma, bo nie ma osoby, którą trzeba by poinformować. To rozróżnienie warto mieć zaimplementowane w narzędziu, a nie w głowie osoby budującej listę, bo w typowej polskiej bazie oba typy rekordów siedzą obok siebie i różnią się wyłącznie kształtem adresu.

Zakres informacyjny jest przy art. 14 szerszy niż przy art. 13, bo dochodzi element, którego przy zbieraniu danych bezpośrednio od osoby nie ma: wskazanie źródła pochodzenia danych, wynikające z art. 14 ust. 2 lit. f. Praktycznie to najczęściej pomijany element całej klauzuli i najłatwiejszy do zakwestionowania, bo „ze źródeł publicznie dostępnych” nie jest wskazaniem źródła.

Bisnode, czyli dlaczego wyjątek z art. 14 ust. 5 lit. b nie działa

Art. 14 ust. 5 lit. b zwalnia z obowiązku informacyjnego, gdy jego wykonanie okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Ten przepis jest w prospectingu przywoływany częściej niż jakikolwiek inny i praktycznie zawsze bezskutecznie.

Prezes UODO decyzją z 15 marca 2019 roku, sygn. ZSPR.421.3.2018, nałożył na Bisnode Polska karę 943 470 zł za niewykonanie obowiązku wobec osób, których dane pozyskano z publicznych rejestrów: CEIDG, KRS i REGON. Spółka poinformowała mailowo tych, których adresy miała, a wobec pozostałych powołała się właśnie na niewspółmierny wysiłek, wskazując koszt korespondencji listownej. Wojewódzki Sąd Administracyjny wyrokiem z 11 grudnia 2019 roku, sygn. II SA/Wa 1030/19, częściowo uchylił decyzję, ale Naczelny Sąd Administracyjny wyrokiem z 20 września 2023 roku, sygn. III OSK 2538/21, przyznał rację organowi.

Zdanie, które warto z tej sprawy zapamiętać, brzmi tak: wyjątki od zasady przejrzystości wykłada się ściśle, a wysoki koszt nie równa się niewspółmiernemu wysiłkowi. Skoro administrator dysponuje kanałem kontaktu, to koszt jego użycia jest kosztem prowadzenia działalności, a nie przeszkodą obiektywną.

Warto zaznaczyć zakres tej sprawy, żeby jej nie rozciągać ponad to, co rozstrzygnęła. Bisnode dotyczył wyłącznie warstwy informacyjnej z RODO i zapadł w stanie prawnym sprzed PKE, więc nie mówi nic o zgodzie na kanał ani o wysyłce handlowej jako takiej. Mówi natomiast jasno, jak organ i sąd czytają argument o kosztownej skali, a to jest dokładnie ten argument, którym broni się większość zespołów kupujących gotowe bazy. Jeżeli dostawca bazy nie potrafi podać, z jakiego konkretnie źródła pochodzi rekord, to problem nie kończy się na tym, że nie masz czym wypełnić pola w klauzuli. Nie masz też czym odpowiedzieć na pytanie organu o legalność pozyskania.

Przy cold mailu argument o niewspółmiernym wysiłku jest jeszcze słabszy niż w sprawie Bisnode, bo kanał jest z definicji otwarty. Skoro wysyłasz do kogoś ofertę, to możesz w tej samej wiadomości podać klauzulę. Koszt marginalny wynosi zero. Ten sam wniosek dotyczy danych zebranych przez scraping, bo pozyskanie ze źródła innego niż osoba uruchamia pełny reżim art. 14 niezależnie od techniki zbierania.

Co musi znaleźć się w klauzuli i jak ona brzmi

Minimum, które powinno stać w stopce pierwszej wiadomości, obejmuje: pełną firmę nadawcy z adresem siedziby i numerem NIP lub KRS, imię, nazwisko i stanowisko osoby wysyłającej, jednoznaczne wskazanie źródła danych, wyodrębnione pouczenie o prawie sprzeciwu z działającym mechanizmem, oraz link do polityki prywatności. Nagłówki List-Unsubscribe i List-Unsubscribe-Post dokłada się osobno, ale to warstwa dostarczalności, nie prawna.

Wersja pełna, której używam jako punktu wyjścia, brzmi tak:

„Administratorem Twoich danych (imię, nazwisko, służbowy adres e-mail, stanowisko, firma) jest [X] z siedzibą w [Y], NIP [...]. Dane pozyskaliśmy z [źródło]. Przetwarzamy je w celu kontaktu handlowego, na podstawie art. 6 ust. 1 lit. f RODO, naszym prawnie uzasadnionym interesem jest marketing bezpośredni (motyw 47 RODO). Dane przechowujemy przez [12/24] miesiące od ostatniego kontaktu. Masz prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia oraz w każdej chwili wniesienia sprzeciwu wobec przetwarzania na potrzeby marketingu bezpośredniego, po sprzeciwie natychmiast zaprzestaniemy kontaktu. Przysługuje Ci skarga do Prezesa UODO. Pełna informacja: [link].”

Dwa pola wymagają uzupełnienia realną treścią, a nie ogólnikiem. Źródło musi być konkretne: nazwa serwisu, z którego pochodzi rekord, nazwa dostawcy bazy, wskazanie rejestru. Okres przechowywania musi być liczbą, a rynkowy standard dwunastu do dwudziestu czterech miesięcy od ostatniej interakcji jest standardem, nie terminem ustawowym; RODO nie wyznacza tu żadnego okresu, więc wpisana liczba musi wynikać z twojego własnego uzasadnienia.

Wersja skrócona w treści i pełna pod linkiem

Pełna klauzula ma ponad sto słów i wklejona pod czterozdaniowym cold mailem psuje proporcje wiadomości, o które walczy się przy każdym zdaniu treści. Rynek radzi sobie z tym warstwowo: w stopce zostaje wersja skrócona z odesłaniem do pełnej informacji pod linkiem.

Wersja skrócona, która moim zdaniem jest minimum możliwym do obrony:

„Administrator: [X] sp. z o.o., [adres], NIP [...]. Twój adres znaleźliśmy w [konkretne źródło]. Piszemy w celu kontaktu handlowego, podstawa: art. 6 ust. 1 lit. f RODO. Nie chcesz takich wiadomości? Odpowiedz słowem NIE albo kliknij [rezygnacja]. Zapisujemy to na stałe i nie kontaktujemy się ponownie żadnym kanałem. Pełna informacja o przetwarzaniu: [link].”

Pytanie, które pada zawsze przy pierwszym wdrożeniu takiej stopki, dotyczy kosztu w odpowiedziach. Nie znam badania, które mierzyłoby wpływ klauzuli informacyjnej na reply rate cold maila, ani polskiego, ani zagranicznego, i podejrzewam, że nie istnieje, bo w większości jurysdykcji problem po prostu nie występuje w tej formie. To, co mam, to obserwacja warsztatowa z kilkunastu kampanii, a nie dane: wpływ jest zauważalny wtedy, gdy klauzula wchodzi w pole podglądu wiadomości, i praktycznie żaden, gdy siedzi pod podpisem, oddzielona od treści. Jeżeli ktoś potrzebuje twardej liczby, musi ją zmierzyć u siebie, przy czym różnice tego rzędu wymagają próby, na którą mało kto ma listę.

Czego w niej celowo nie ma: katalogu wszystkich praw z rozdziału trzeciego RODO, okresu retencji i informacji o skardze do Prezesa UODO. Te elementy siedzą pod linkiem. Podejście warstwowe jest praktyką rynkową i nie znam decyzji organu, która by je wprost akceptowała albo odrzucała przy cold mailu, więc nie twierdzę, że jest bezpieczne. Ryzyko idzie w jedną stronę: im więcej informacji w samej wiadomości, tym mocniejsza pozycja w ewentualnym sporze i tym gorsza konwersja.

Informacja o sprzeciwie musi stać osobno

Art. 21 ust. 4 RODO nie mówi tylko o tym, że o prawie sprzeciwu trzeba poinformować. Mówi, że informację tę podaje się wyraźnie i odrębnie od wszelkich innych informacji, najpóźniej przy pierwszej komunikacji. Zdanie o sprzeciwie wtopione w środek akapitu klauzuli tego wymogu nie spełnia, choćby merytorycznie było poprawne.

Sam sprzeciw wobec marketingu bezpośredniego ma z art. 21 ust. 2 i 3 charakter bezwzględny. Nie wymaga uzasadnienia, nie podlega testowi równowagi i nie ma od niego wyjątku dla trwających kampanii. Administrator ma po prostu przestać.

Utrudnianie tej ścieżki jest karane osobno. Prezes UODO decyzją z 16 października 2019 roku, sygn. ZSPR.421.7.2019, nałożył na ClickQuickNow karę 201 559,50 zł właśnie za utrudnianie wycofania zgody. Mechanizm, który wymaga zalogowania, podania powodu albo przejścia przez trzy ekrany, jest ryzykiem tej samej klasy co brak mechanizmu.

Termin realizacji bywa mylony z amerykańskim. RODO wymaga działania bez zbędnej zwłoki, z ogólnym terminem miesięcznym, a rynkowe SLA na poziomie siedemdziesięciu dwóch godzin jest dobrą praktyką, nie wymogiem ustawowym. Dziesięć dni roboczych, które co jakiś czas pojawia się w polskich procedurach, pochodzi z amerykańskiego CAN-SPAM i nie ma tu żadnego zastosowania. W praktyce liczy się nie deklarowane SLA, tylko to, czy blokada zadziała również przy imporcie nowej bazy trzy miesiące później, bo najczęstszy scenariusz naruszenia to nie zignorowany sprzeciw, tylko ten sam adres wgrany ponownie z innego pliku.

Techniczną konsekwencją jest konieczność prowadzenia jednej centralnej listy sprzeciwów obejmującej adres, domenę, numer telefonu i identyfikator firmy, wpisu nieusuwalnego i synchronizowanego ze wszystkimi nadawcami. Rekord na takiej liście przechowuje się bezterminowo, bo jego usunięcie uniemożliwiłoby respektowanie sprzeciwu, i jest to jedyny zbiór danych prospektowych, którego nie kasuje się po upływie retencji.

Czego klauzula nie załatwia

Poprawna klauzula informacyjna nie czyni kampanii zgodną z prawem. EDPB w Guidelines 1/2024, przyjętych 8 października 2024 roku, stwierdza w punkcie 53 wprost, że samo spełnienie obowiązku informacyjnego nie legitymizuje przetwarzania. Punkt 52 tych samych wytycznych odbiera drugi popularny argument, bo przesądza, że praktyka rynkowa w sektorze nie kreuje rozsądnego oczekiwania osoby.

Druga rzecz, której klauzula nie załatwia, jest jeszcze ważniejsza dla polskiego outboundu: zgoda z art. 398 PKE dotyczy kanału i istnieje niezależnie od warstwy danych osobowych. Można mieć wzorowo wykonany art. 14 RODO i naruszać PKE tą samą wiadomością, bo pierwsze dotyczy tego, jak obchodzisz się z danymi, a drugie tego, czy w ogóle wolno ci było użyć skrzynki adresata.

Praktyczny wniosek jest niewygodny dla zespołów, które szukają jednego dokumentu zamykającego temat. Klauzula w stopce jest dowodem przejrzystości, nie podstawą działania. Buduje pozycję dopiero w komplecie z udokumentowanym testem równowagi, dowodem pochodzenia bazy, wpisem w rejestrze czynności z art. 30 RODO i osobno rozstrzygniętym pytaniem o zgodę na kanał. Kolejność ma znaczenie, bo klauzula jest ostatnim elementem tego kompletu, a nie pierwszym, i pisanie jej przed rozstrzygnięciem podstawy prawnej kampanii oznacza zwykle, że opisuje się przetwarzanie, którego nikt jeszcze nie uzasadnił.