Prawo, RODO i PKE

Trzy warstwy warto trzymać osobno, bo w dyskusjach o legalności cold mailingu zawsze się zlewają. PKE odpowiada na pytanie, czy wolno użyć kanału: art. 398 ust. 1 zakazuje przesyłania informacji handlowej do abonenta lub użytkownika końcowego bez uprzedniej zgody, a definicje z art. 2 PKE mówią o „podmiocie", nie o osobie fizycznej, więc relacja B2B jest objęta w pełni. RODO odpowiada na pytanie, czy wolno przetwarzać dane: motyw 47 wprost dopuszcza marketing bezpośredni jako prawnie uzasadniony interes, ale test równowagi trzeba mieć spisany przed startem kampanii, zgodnie z wytycznymi EDPB 1/2024 przyjętymi 8 października 2024 roku. Ustawa o świadczeniu usług drogą elektroniczną straciła w tym równaniu samodzielną rolę, bo PKE uchyliło jej art. 10 i art. 24, choć definicja informacji handlowej z tej ustawy nadal jest punktem odniesienia dla art. 398 PKE.

To stan pewny. Sporne pozostaje, jak przepis będzie stosowany: nie znalazłem publicznie ogłoszonej decyzji Prezesa UKE wydanej już na podstawie art. 446 ust. 5 PKE, stan na sierpień 2026. Martwy przepis to jednak nie jest, bo art. 398 ust. 4 kwalifikuje wysyłkę bez zgody jako czyn nieuczciwej konkurencji, co otwiera drogę powództwu konkurenta, a nie tylko postępowaniu organu. Szczegóły rozkładam w tekście o art. 398 PKE. To nie jest porada prawna.

Firmy, które przed listopadem 2024 roku opierały wysyłkę na tezie „piszemy do spółek, więc art. 10 UŚUDE nas nie dotyczy", straciły podstawę tego rozumowania z dnia na dzień. Wcześniej ten przepis chronił oznaczonego odbiorcę będącego osobą fizyczną, więc adres należący do spółki bywał traktowany jako obszar poza regulacją. Art. 398 PKE odwołuje się do abonenta i użytkownika końcowego, a art. 2 PKE definiuje użytkownika jako podmiot korzystający z usługi, nie jako człowieka. Piśmiennictwo jest w tej sprawie jednolite i obejmuje ochroną także osoby prawne oraz jednostki organizacyjne.

Zgody zebrane wcześniej nie przepadły. Art. 100 ustawy wprowadzającej, Dz.U. 2024 poz. 1222, utrzymuje w mocy zgody wyrażone na podstawie przepisów dotychczasowych, o ile pierwotny sposób ich wyrażenia odpowiada warunkom PKE. Nie ma więc obowiązku ponownego zbierania zgód, jest obowiązek przejrzenia, jak każda z nich powstała, i wyrzucenia tych, przy których nie da się pokazać treści klauzuli, kanału i daty. Zakres zmian opisuję szerzej przy art. 398 PKE. To nie jest porada prawna.

Praktyczny skutek konsolidacji widać najlepiej na telefonie. Art. 444 ust. 1 pkt 81 PKE penalizuje używanie automatycznych systemów wywołujących albo telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej bez uprzedniej zgody, a telefon handlowca jest takim urządzeniem. Zakaz działa więc niezależnie od tego, czy dzwoni człowiek, czy automat, i nie rozróżnia numeru centrali od komórki służbowej pracownika. Osobno zmienił się standard samej zgody: art. 400 PKE każe stosować odpowiednio przepisy o ochronie danych osobowych, więc zgoda musi być dobrowolna, konkretna, świadoma, jednoznaczna, odwoływalna i możliwa do wykazania.

Zmieniła się też skala ryzyka. Art. 446 ust. 5 PKE pozwala Prezesowi UKE nałożyć karę do 3 procent przychodu z poprzedniego roku kalendarzowego albo do miliona złotych, przy czym stosuje się kwotę wyższą, a przy braku danych podstawę wymiaru można ustalić szacunkowo, nie mniej niż 500 tysięcy złotych. Do tego dochodzi wykroczenie z art. 448 PKE, ścigane na żądanie pokrzywdzonego, oraz kwalifikacja z art. 398 ust. 4 jako czynu nieuczciwej konkurencji. Publicznie ogłoszonej decyzji wydanej już na podstawie art. 446 ust. 5 nie znalazłem, stan na sierpień 2026. Więcej o samej normie piszę przy art. 398 PKE. To nie jest porada prawna.

Najczęściej pomijany jest ustęp drugi, a to on rozstrzyga większość sporów praktycznych. Zgoda może być wyrażona przez udostępnienie przez abonenta lub użytkownika końcowego identyfikującego go adresu elektronicznego w celu przesyłania informacji handlowej na ten adres. Ostatnie pięć słów jest tu kluczowe, bo przesądza, że liczy się cel udostępnienia, a nie sama dostępność adresu. Ustęp trzeci dokłada warunek, że korzystanie z tych środków nie może odbywać się na koszt użytkownika końcowego lub abonenta.

Standard zgody wyznacza art. 400 PKE, który odsyła do przepisów o ochronie danych osobowych. W praktyce oznacza to poziom z art. 4 pkt 11 i art. 7 RODO: zgoda dobrowolna, konkretna, świadoma i jednoznaczna, w każdej chwili odwoływalna, a przede wszystkim wykazywalna, czyli udokumentowana co do kanału, treści klauzuli, daty i identyfikatora osoby. Zakres podmiotowy przepisu jest przy tym szerszy, niż zakłada większość zespołów sprzedaży, bo ustawodawca celowo użył słowa „podmiot" i piśmiennictwo jest w tej sprawie zgodne. Konsekwencją art. 398 ust. 4 jest to, że o naruszenie może pozwać nie tylko organ, lecz również konkurent, na podstawie art. 18 ustawy o zwalczaniu nieuczciwej konkurencji. W polskich realiach to najbardziej niedoszacowany kanał ryzyka, co rozwijam przy art. 398 PKE. To nie jest porada prawna.

Pytanie „czyja zgoda" ma znaczenie operacyjne, bo decyduje o tym, co w ogóle da się udokumentować. Adres imienny w domenie pracodawcy jest przypisany konkretnemu człowiekowi i to on jest użytkownikiem końcowym, więc zgoda zebrana od działu zakupów albo od zarządu nie obejmuje wszystkich skrzynek w firmie. Przy adresie ogólnym abonentem jest spółka i dominująca wykładnia mówi, że zgoda również jest wymagana, bo art. 398 PKE w ogóle nie posługuje się pojęciem danych osobowych, tylko kryterium techniczno-podmiotowym.

To ostatnie jest kwestią sporną i uczciwie trzeba to powiedzieć. Brakuje oficjalnego stanowiska Prezesa UKE i Prezesa UODO co do adresów ogólnych osób prawnych. Pogląd mniejszościowy przyjmuje, że adres opublikowany jawnie po to, by można było zgłosić się z ofertą, mieści się w art. 398 ust. 2, ale rozstrzygnięcia organu nie ma. Rynek radzi sobie własną gradacją ryzyka, która nie wynika z ustawy: najniżej adres ogólny osoby prawnej przy treści ściśle związanej z profilem działalności, wyżej adres imienny pracownika, najwyżej adres imienny jednoosobowej działalności. Przy tym ostatnim dochodzi jeszcze obowiązek informacyjny z art. 14 RODO w pierwszej wiadomości, co opisuję w tekście o cold mailu na adres ogólny. To nie jest porada prawna.