Prawo, RODO i PKE

Trzy warstwy warto trzymać osobno, bo w dyskusjach o legalności cold mailingu zawsze się zlewają. PKE odpowiada na pytanie, czy wolno użyć kanału: art. 398 ust. 1 zakazuje przesyłania informacji handlowej do abonenta lub użytkownika końcowego bez uprzedniej zgody, a definicje z art. 2 PKE mówią o „podmiocie", nie o osobie fizycznej, więc relacja B2B jest objęta w pełni. RODO odpowiada na pytanie, czy wolno przetwarzać dane: motyw 47 wprost dopuszcza marketing bezpośredni jako prawnie uzasadniony interes, ale test równowagi trzeba mieć spisany przed startem kampanii, zgodnie z wytycznymi EDPB 1/2024 przyjętymi 8 października 2024 roku. Ustawa o świadczeniu usług drogą elektroniczną straciła w tym równaniu samodzielną rolę, bo PKE uchyliło jej art. 10 i art. 24, choć definicja informacji handlowej z tej ustawy nadal jest punktem odniesienia dla art. 398 PKE.

To stan pewny. Sporne pozostaje, jak przepis będzie stosowany: nie znalazłem publicznie ogłoszonej decyzji Prezesa UKE wydanej już na podstawie art. 446 ust. 5 PKE, stan na sierpień 2026. Martwy przepis to jednak nie jest, bo art. 398 ust. 4 kwalifikuje wysyłkę bez zgody jako czyn nieuczciwej konkurencji, co otwiera drogę powództwu konkurenta, a nie tylko postępowaniu organu. Szczegóły rozkładam w tekście o art. 398 PKE. To nie jest porada prawna.

Firmy, które przed listopadem 2024 roku opierały wysyłkę na tezie „piszemy do spółek, więc art. 10 UŚUDE nas nie dotyczy", straciły podstawę tego rozumowania z dnia na dzień. Wcześniej ten przepis chronił oznaczonego odbiorcę będącego osobą fizyczną, więc adres należący do spółki bywał traktowany jako obszar poza regulacją. Art. 398 PKE odwołuje się do abonenta i użytkownika końcowego, a art. 2 PKE definiuje użytkownika jako podmiot korzystający z usługi, nie jako człowieka. Piśmiennictwo jest w tej sprawie jednolite i obejmuje ochroną także osoby prawne oraz jednostki organizacyjne.

Zgody zebrane wcześniej nie przepadły. Art. 100 ustawy wprowadzającej, Dz.U. 2024 poz. 1222, utrzymuje w mocy zgody wyrażone na podstawie przepisów dotychczasowych, o ile pierwotny sposób ich wyrażenia odpowiada warunkom PKE. Nie ma więc obowiązku ponownego zbierania zgód, jest obowiązek przejrzenia, jak każda z nich powstała, i wyrzucenia tych, przy których nie da się pokazać treści klauzuli, kanału i daty. Zakres zmian opisuję szerzej przy art. 398 PKE. To nie jest porada prawna.

Praktyczny skutek konsolidacji widać najlepiej na telefonie. Art. 444 ust. 1 pkt 81 PKE penalizuje używanie automatycznych systemów wywołujących albo telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej bez uprzedniej zgody, a telefon handlowca jest takim urządzeniem. Zakaz działa więc niezależnie od tego, czy dzwoni człowiek, czy automat, i nie rozróżnia numeru centrali od komórki służbowej pracownika. Osobno zmienił się standard samej zgody: art. 400 PKE każe stosować odpowiednio przepisy o ochronie danych osobowych, więc zgoda musi być dobrowolna, konkretna, świadoma, jednoznaczna, odwoływalna i możliwa do wykazania.

Zmieniła się też skala ryzyka. Art. 446 ust. 5 PKE pozwala Prezesowi UKE nałożyć karę do 3 procent przychodu z poprzedniego roku kalendarzowego albo do miliona złotych, przy czym stosuje się kwotę wyższą, a przy braku danych podstawę wymiaru można ustalić szacunkowo, nie mniej niż 500 tysięcy złotych. Do tego dochodzi wykroczenie z art. 448 PKE, ścigane na żądanie pokrzywdzonego, oraz kwalifikacja z art. 398 ust. 4 jako czynu nieuczciwej konkurencji. Publicznie ogłoszonej decyzji wydanej już na podstawie art. 446 ust. 5 nie znalazłem, stan na sierpień 2026. Więcej o samej normie piszę przy art. 398 PKE. To nie jest porada prawna.

Najczęściej pomijany jest ustęp drugi, a to on rozstrzyga większość sporów praktycznych. Zgoda może być wyrażona przez udostępnienie przez abonenta lub użytkownika końcowego identyfikującego go adresu elektronicznego w celu przesyłania informacji handlowej na ten adres. Ostatnie pięć słów jest tu kluczowe, bo przesądza, że liczy się cel udostępnienia, a nie sama dostępność adresu. Ustęp trzeci dokłada warunek, że korzystanie z tych środków nie może odbywać się na koszt użytkownika końcowego lub abonenta.

Standard zgody wyznacza art. 400 PKE, który odsyła do przepisów o ochronie danych osobowych. W praktyce oznacza to poziom z art. 4 pkt 11 i art. 7 RODO: zgoda dobrowolna, konkretna, świadoma i jednoznaczna, w każdej chwili odwoływalna, a przede wszystkim wykazywalna, czyli udokumentowana co do kanału, treści klauzuli, daty i identyfikatora osoby. Zakres podmiotowy przepisu jest przy tym szerszy, niż zakłada większość zespołów sprzedaży, bo ustawodawca celowo użył słowa „podmiot" i piśmiennictwo jest w tej sprawie zgodne. Konsekwencją art. 398 ust. 4 jest to, że o naruszenie może pozwać nie tylko organ, lecz również konkurent, na podstawie art. 18 ustawy o zwalczaniu nieuczciwej konkurencji. W polskich realiach to najbardziej niedoszacowany kanał ryzyka, co rozwijam przy art. 398 PKE. To nie jest porada prawna.

Pytanie „czyja zgoda" ma znaczenie operacyjne, bo decyduje o tym, co w ogóle da się udokumentować. Adres imienny w domenie pracodawcy jest przypisany konkretnemu człowiekowi i to on jest użytkownikiem końcowym, więc zgoda zebrana od działu zakupów albo od zarządu nie obejmuje wszystkich skrzynek w firmie. Przy adresie ogólnym abonentem jest spółka i dominująca wykładnia mówi, że zgoda również jest wymagana, bo art. 398 PKE w ogóle nie posługuje się pojęciem danych osobowych, tylko kryterium techniczno-podmiotowym.

To ostatnie jest kwestią sporną i uczciwie trzeba to powiedzieć. Brakuje oficjalnego stanowiska Prezesa UKE i Prezesa UODO co do adresów ogólnych osób prawnych. Pogląd mniejszościowy przyjmuje, że adres opublikowany jawnie po to, by można było zgłosić się z ofertą, mieści się w art. 398 ust. 2, ale rozstrzygnięcia organu nie ma. Rynek radzi sobie własną gradacją ryzyka, która nie wynika z ustawy: najniżej adres ogólny osoby prawnej przy treści ściśle związanej z profilem działalności, wyżej adres imienny pracownika, najwyżej adres imienny jednoosobowej działalności. Przy tym ostatnim dochodzi jeszcze obowiązek informacyjny z art. 14 RODO w pierwszej wiadomości, co opisuję w tekście o cold mailu na adres ogólny. To nie jest porada prawna.

Polska wybrała najostrzejszy z możliwych wariantów i warto wiedzieć, że nie musiała. Art. 13 ust. 5 dyrektywy 2002/58/WE nakazuje opt-in wobec abonentów będących osobami fizycznymi, a wobec pozostałych każe państwom członkowskim jedynie zapewnić wystarczającą ochronę uzasadnionych interesów. Stąd rozjazd krajowy, który uderza w każdą kampanię wychodzącą poza Polskę. Brytyjskie ICO pozwala wysyłać marketing B2B do osób prawnych bez zgody, bo PECR reg. 22 dotyczy individual subscribers, choć jednoosobowe działalności i spółki osobowe są tam traktowane jak osoby fizyczne. Francuska doktryna CNIL dopuszcza B2B na uzasadnionym interesie i wprost wyłącza adresy bezosobowe typu contact@. Holandia i Finlandia stosują wobec osób prawnych model opt-out.

Praktyczny wniosek jest taki, że jednej sekwencji na całą Europę nie da się prowadzić bez segmentacji po jurysdykcji i po typie adresata. Stosuje się prawo państwa odbiorcy, a Polska, Niemcy w kanale mailowym oraz Dania są w tym zestawieniu rynkami twardymi. Rozkład reżimów rozpisuję w tekście o outboundzie za granicę. To nie jest porada prawna.

Argument za stanowiskiem restrykcyjnym wzmocniła sama konstrukcja art. 398 PKE. Poprzedni art. 10 UŚUDE mówił o informacji „niezamówionej", więc dało się dyskutować, czy pytanie o zgodę jest już informacją handlową. W nowym przepisie tego kwalifikatora nie ma, kryterium jest wyłącznie brak uprzedniej zgody, a przesyłanie informacji handlowej obejmuje również przekaz promujący pośrednio. Mail, który tłumaczy, czym się zajmujesz, po to żeby uzasadnić prośbę o zgodę, promuje twoje usługi niezależnie od tego, jak został zatytułowany.

Osobno działa argument z zakazu obchodzenia zakazu. Niemiecki BVerwG w wyroku z 29 stycznia 2025 roku, sygn. 6 C 3.23, przyjął, że nie może istnieć uzasadniony interes w przetwarzaniu, którego jedynym celem jest działanie samo w sobie bezprawne. Przeniesione na polski grunt oznacza to, że testu równowagi nie da się zbudować pod kampanię naruszającą art. 398 PKE. Zgodne z prawem ścieżki pozyskania kontaktu zostają te same: inbound, kontakt zainicjowany przez prospekta, targi i konferencje z pisemną zgodą, rekomendacja z potwierdzeniem. Ten sam spór w kanale telefonicznym rozkładam w tekście o cold callu po wejściu PKE. To nie jest porada prawna.

Wykazywalność jest tym warunkiem, na którym najczęściej sypie się dokumentacja. Zgoda odnotowana jako „klient odpisał, że jest zainteresowany" nie wystarcza, bo nie widać z niej, na co dokładnie odbiorca się zgodził. Zapisuj kanał, pełną treść klauzuli w brzmieniu, które odbiorca widział, datę, identyfikator osoby oraz sposób wyrażenia zgody. Zgody na różne kanały zbieraj w osobnych checkboxach, bo zgoda na maila nie jest zgodą na telefon. Odwoływalność musi być równie łatwa jak udzielenie: Prezes UODO ukarał ClickQuickNow kwotą 201 559,50 zł decyzją z 16 października 2019 roku właśnie za utrudnianie wycofania zgody.

Druga rzecz, o której się rzadko mówi: prawidłowo zebrana zgoda nie leczy wstecz wysyłki, która ją poprzedziła. Jeżeli organ uzna pierwszy mail za naruszenie art. 398 PKE, późniejsza odpowiedź odbiorcy tego nie usuwa, a art. 444 ust. 3 PKE pozwala nałożyć karę także wtedy, gdy podmiot zaprzestał naruszenia albo naprawił szkodę. Przy adresie imiennym w tej samej wiadomości trzeba jeszcze wykonać obowiązek informacyjny z art. 14 RODO i odrębnie pouczyć o prawie sprzeciwu, co rozpisuję w tekście o obowiązku informacyjnym w pierwszej wiadomości. To nie jest porada prawna.

Kolejność analizy ma tu znaczenie, bo większość zespołów zaczyna od RODO i wyciąga z tego fałszywy wniosek. Pierwsza warstwa to PKE i jej kryterium jest techniczno-podmiotowe, nie osobowe. Adres biuro@firma.pl należy do abonenta, czyli do spółki, a spółka jest podmiotem w rozumieniu art. 2 PKE, więc dominująca wykładnia mówi, że zgoda jest wymagana także przy adresach ogólnych. Dopiero druga warstwa, RODO, decyduje o obowiązku informacyjnym i to ona przy adresie bezosobowym odpada.

Wniosek „to nie są dane osobowe, więc mogę pisać" jest zatem błędem logicznym, bo miesza dwie niezależne podstawy. Trzeba przy tym uczciwie powiedzieć, że status adresów ogólnych osób prawnych pod art. 398 PKE nie został przez organ rozstrzygnięty. Nie ma oficjalnego stanowiska Prezesa UKE ani Prezesa UODO, a pogląd mniejszościowy przyjmuje, że adres udostępniony jawnie po to, by można było złożyć propozycję handlową, mieści się w art. 398 ust. 2. Niezależnie od tego sporu obowiązki dotyczące treści wiadomości pozostają: informacja handlowa musi mieć jednoznacznie oznaczonego nadawcę i działający mechanizm rezygnacji. Granice tej praktyki opisuję w tekście o cold mailu na adres ogólny. To nie jest porada prawna.

Termin z art. 14 ust. 3 lit. b jest tym miejscem, w którym najwięcej kampanii wykłada się bez potrzeby. Reguła ogólna daje miesiąc, ale jeżeli dane mają posłużyć komunikacji z osobą, informację trzeba przekazać najpóźniej przy pierwszej komunikacji. W cold mailu oznacza to pierwszą wiadomość, a nie osobnego maila wysłanego tydzień później. Klauzula musi wskazywać administratora, cel, podstawę prawną, źródło danych zgodnie z art. 14 ust. 2 lit. f oraz okres przechowywania. Pouczenie o prawie sprzeciwu musi być wyraźne i wyodrębnione od pozostałych informacji, tak wymaga art. 21 ust. 4, więc zdanie schowane w środku stopki tego warunku nie spełnia.

Na wyjątek z art. 14 ust. 5 lit. b, czyli niewspółmiernie duży wysiłek, w polskiej praktyce nie ma co liczyć. Prezes UODO ukarał Bisnode Polska kwotą 943 470 zł decyzją z 15 marca 2019 roku za niewykonanie art. 14 wobec osób, których dane pochodziły z CEIDG, KRS i REGON. WSA częściowo tę decyzję uchylił, ale NSA wyrokiem z 20 września 2023 roku, sygn. III OSK 2538/21, przyznał rację organowi i przypomniał, że wyjątki od zasady przejrzystości wykłada się ściśle. Wzór klauzuli i miejsce, w którym ją wstawić, rozpisuję w tekście o obowiązku informacyjnym z art. 14 RODO. To nie jest porada prawna.

Rozdzielenie dostępu od użycia sprowadza się do trzech niezależnych pytań, na które trzeba mieć osobne odpowiedzi. Czy wolno mi mieć te dane: tak, rejestr jest jawny. Czy mam podstawę je przetwarzać w celu marketingowym: art. 6 ust. 1 lit. f RODO w związku z motywem 47 to dopuszcza, ale test równowagi według wytycznych EDPB 1/2024 musi być spisany przed startem kampanii, a nie po skardze. Punkt 52 tych wytycznych mówi wprost, że praktyka rynkowa w sektorze nie kreuje rozsądnego oczekiwania osoby, więc argument „wszyscy tak robią" nie działa. Czy wolno mi użyć kanału: to rozstrzyga art. 398 PKE i wymaga zgody niezależnie od tego, skąd wziąłem adres.

Wpisanie danych do CEIDG służy celowi rejestrowemu, więc nie jest udostępnieniem adresu w celu przesyłania informacji handlowej w rozumieniu art. 398 ust. 2 PKE. W materiale źródłowym, na którym pracuję, nie ma rozstrzygnięcia organu odnoszącego się wprost do ograniczeń wynikających z samej ustawy o CEIDG, więc opieram się na RODO i PKE. Praktyczna konsekwencja: dane z rejestru nadają się do zbudowania i weryfikacji listy, źródła danych kontaktowych na polski rynek to osobny temat. To nie jest porada prawna.

Niemiecki wyrok jest tu ciekawy, bo zapadł w reżimie łagodniejszym niż polski i mimo to poszedł w tę samą stronę. Paragraf 7 UWG dopuszcza w Niemczech telefon B2B na co najmniej domniemanej zgodzie, czyli daje wyłom, którego polskie PKE nie zna. BVerwG w orzeczeniu z 29 stycznia 2025 roku zawęził go, uznając, że dostępność numeru w książce branżowej albo na stronie WWW nie tworzy domniemania i że potrzebne są rzeczowe przesłanki konkretnego zainteresowania po stronie adresata. Skoro publikacja nie wystarcza tam, gdzie prawo dopuszcza domniemanie, tym bardziej nie wystarcza w Polsce, gdzie wymagana jest zgoda uprzednia.

Warto znać także pogląd mniejszościowy, żeby wiedzieć, na czym stoi druga strona sporu: przyjmuje on, że adres opublikowany jawnie po to, by można było złożyć propozycję handlową, mieści się w hipotezie art. 398 ust. 2 PKE. Rozstrzygnięcia organu w tej sprawie nie ma i dopóki go nie będzie, oparcie kampanii na tej tezie to świadome przyjęcie ryzyka, nie zgodność. Publiczna dostępność nie zdejmuje też obowiązku informacyjnego z art. 14 RODO przy adresach imiennych, o czym piszę przy scrapingu danych. To nie jest porada prawna.

Definicja ma dwa wyłączenia i to one wyznaczają przypadki graniczne. Poza zakresem jest informacja umożliwiająca porozumiewanie się za pomocą środków komunikacji elektronicznej z określoną osobą, czyli sama stopka z danymi kontaktowymi, oraz informacja o towarach i usługach, która nie służy osiągnięciu efektu handlowego pożądanego przez zlecającego jej rozpowszechnianie. Ten drugi wyjątek jest w outboundzie praktycznie niedostępny, bo cała sekwencja z definicji zmierza do sprzedaży. Zaproszenie na webinar wysłane po to, żeby zbudować listę do dalszej sprzedaży, mieści się w pojęciu informacji handlowej, nawet jeżeli w treści nie ma ceny ani opisu produktu.

Sądy czytają to szeroko. TSUE w wyroku z 25 listopada 2021 roku, C-102/20 StWL, uznał za marketing bezpośredni wymagający zgody nawet reklamę wyświetlaną wewnątrz skrzynki odbiorczej, a więc formę, która nie jest klasycznym mailem. Konsekwencja praktyczna jest prosta: zmiana nagłówka wiadomości z „oferta" na „zaproszenie" albo „krótkie pytanie" nie wyprowadza jej spod art. 398 PKE, bo liczy się funkcja przekazu, a nie jego etykieta. Różnicę między cold mailem a spamem rozkładam osobno w tekście o anatomii cold maila. To nie jest porada prawna.

Zakres tego pojęcia ma bezpośrednie przełożenie na jedno uprawnienie, które jest w RODO najostrzejsze. Sprzeciw wobec przetwarzania na potrzeby marketingu bezpośredniego jest bezwzględny: art. 21 ust. 2 i 3 RODO nie wymaga od osoby żadnego uzasadnienia i nie poddaje takiego żądania testowi równowagi. Administrator ma po prostu przestać. O tym prawie trzeba poinformować wyraźnie i odrębnie od pozostałych informacji, najpóźniej przy pierwszej komunikacji, tak stanowi art. 21 ust. 4. Im szerzej rozumiemy marketing bezpośredni, tym więcej wiadomości wpada pod ten reżim, łącznie z mailem, który udaje badanie rynku, a kończy się prośbą o spotkanie.

Motyw 47 RODO uznaje marketing bezpośredni za działanie, które może być wykonywane w prawnie uzasadnionym interesie, i to bywa źle czytane jako zwolnienie z obowiązków. Wytyczne EDPB 1/2024 w punkcie 52 mówią, że praktyka rynkowa w sektorze nie tworzy rozsądnego oczekiwania osoby, a w punkcie 53, że samo spełnienie obowiązku informacyjnego nie legitymizuje przetwarzania. Podstawa z art. 6 ust. 1 lit. f dotyczy przy tym wyłącznie danych, a nie kanału, na który potrzebna jest zgoda z art. 398 PKE. Jak zorganizować obsługę sprzeciwów, opisuję w tekście o liście sprzeciwów. To nie jest porada prawna.