Baza mailingowa firm a RODO: co wolno w 2026 roku

Spółka a jednoosobowa działalność: kiedy to dane osobowe

RODO chroni dane osób fizycznych, a nie firm jako takich. Nazwa spółki z o.o., jej NIP, REGON, numer KRS i adres siedziby nie są danymi osobowymi. Inaczej jest z jednoosobową działalnością gospodarczą. Firma przedsiębiorcy z CEIDG zawiera zwykle jego imię i nazwisko, a NIP jest przypisany do konkretnego człowieka. Dane JDG są więc danymi osobowymi i każde ich przetwarzanie, także w celach sprzedażowych, podlega RODO.

Granica nie przebiega jednak dokładnie między formami prawnymi. Także w spółce danymi osobowymi są:

• imiona i nazwiska członków zarządu, prokurentów i wspólników ujawnione w KRS,
• imienne adresy e-mail, na przykład jan.kowalski@nazwa-spolki.pl,
• numer telefonu komórkowego przypisany do konkretnej osoby,
• notatki handlowca o rozmowie z konkretnym człowiekiem.

Z kolei ogólny adres w rodzaju biuro@ albo kontakt@ spółki zwykle nie identyfikuje osoby. Przy JDG nawet taki adres wskazuje jednak na przedsiębiorcę, więc bezpieczniej traktować go jak daną osobową. Dla działu sprzedaży wniosek jest prosty: w typowej bazie firm, która obejmuje i spółki, i JDG, RODO dotyczy dużej części rekordów.

Art. 14 RODO, uzasadniony interes i prawo sprzeciwu

Gdy dane osobowe nie pochodzą bezpośrednio od osoby, której dotyczą, administrator ma obowiązek poinformować ją o przetwarzaniu. Tak stanowi art. 14 RODO. Informacja obejmuje między innymi tożsamość administratora, cel i podstawę przetwarzania, kategorie danych, źródło danych, okres przechowywania i prawa osoby, w tym prawo sprzeciwu. Przekazuje się ją w rozsądnym terminie, najpóźniej w ciągu miesiąca od pozyskania danych, a jeżeli dane służą do kontaktu, najpóźniej przy pierwszym kontakcie.

Podstawą przetwarzania danych przedsiębiorców w celach sprzedażowych jest najczęściej prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Motyw 47 RODO wprost wskazuje, że marketing bezpośredni może być takim interesem. Nie jest to jednak automat: administrator powinien ocenić, czy jego interes nie przeważa nad prawami osoby, i udokumentować tę ocenę.

Uzasadniony interes ma swoją drugą stronę, czyli prawo sprzeciwu z art. 21 RODO. Sprzeciw wobec marketingu bezpośredniego jest bezwzględny: po jego zgłoszeniu dane nie mogą być dalej przetwarzane w tym celu. W praktyce oznacza to listę wykluczeń, którą sprawdzasz przed każdym eksportem i każdą kampanią. Bazaprzedsiebiorstw realizuje obowiązek informacyjny wobec przedsiębiorców, których dane udostępnia, a sprzeciw zgłoszony przez przedsiębiorcę uwzględniamy w danych, które udostępniamy. Szczegóły opisujemy na stronie o bezpieczeństwie i RODO.

Prawo komunikacji elektronicznej: zgoda na e-mail i telefon

RODO odpowiada na pytanie, czy wolno przetwarzać dane. Czy wolno wysłać informację handlową albo zadzwonić z ofertą, rozstrzyga osobna ustawa: Prawo komunikacji elektronicznej, które obowiązuje od listopada 2024 roku i zastąpiło w tym zakresie wcześniejsze przepisy Prawa telekomunikacyjnego i ustawy o świadczeniu usług drogą elektroniczną. Ustawa wymaga uprzedniej zgody odbiorcy na marketing bezpośredni prowadzony przy użyciu telekomunikacyjnych urządzeń końcowych i poczty elektronicznej.

Trzy rzeczy, o których zespoły sprzedaży często zapominają:

• zgoda dotyczy także firm, a nie tylko osób fizycznych, więc ogólny adres biuro@ spółki nie zwalnia z tego wymogu,
• zgoda obejmuje zarówno e-mail, jak i telefon, w tym rozmowę prowadzoną przez handlowca, a nie tylko automat,
• adres albo numer ujawniony w rejestrze publicznym to nie zgoda na ofertę, tylko informacja kontaktowa.

Zgoda musi być wyraźna, uprzednia i możliwa do wykazania, a jej wycofanie ma być równie proste jak udzielenie. Naruszenie tych zasad może skończyć się karą nałożoną przez Prezesa UKE, a niezależnie od tego skargą odbiorcy albo sporem z konkurentem.

Czego nie robić z bazą firm

Na rynku nadal krążą oferty, które obiecują „gotową bazę do mailingu” z setkami tysięcy adresów. Taka baza nie zmienia przepisów. Odpowiedzialność za wysyłkę bez zgody spoczywa na nadawcy, a nie na sprzedawcy listy. Dlatego Bazaprzedsiebiorstw nie jest bazą do masowego mailingu i nie obiecuje, że nią będzie. Dane kontaktowe pokazujemy tylko wtedy, gdy firma albo przedsiębiorca sam je ujawnił w rejestrze, głównie w CEIDG.

Czego unikać:

• masowej wysyłki ofert na adresy z rejestrów bez zgody odbiorców,
• dzwonienia z ofertą pod numery z rejestrów „bo są publiczne”,
• ukrywania oferty w wiadomości, która udaje zapytanie albo ankietę,
• przechowywania danych bez końca i bez celu, także po zakończeniu kampanii,
• ignorowania sprzeciwu, na przykład ponownego importu firmy, która wcześniej odmówiła,
• zakładania, że ta sama zgoda obejmuje wszystkie marki i wszystkie produkty grupy.

Poza ryzykiem prawnym masowa wysyłka psuje reputację domeny nadawcy. Skrzynki odbiorców uczą się, że wiadomości z tej domeny to niechciana poczta, a wtedy do spamu trafiają również faktury, oferty dla stałych klientów i odpowiedzi handlowców.

Jak uczciwie wykorzystać bazę firm

Baza firm z rejestrów publicznych jest najcenniejsza tam, gdzie mailing nie sięga: w planowaniu. Pozwala policzyć rynek, zanim wydasz budżet, podzielić region między handlowców, wybrać branże do kampanii i odróżnić firmy, które pasują do profilu, od tych, które nigdy nie kupią. Z dobrze zbudowanym segmentem pracujesz kanałami, w których zgoda nie jest warunkiem pierwszego kroku:

• segmentacja i priorytetyzacja: po wyszukiwaniu firm po PKD, regionie i wielkości wiesz, na które firmy przeznaczyć czas zespołu,
• LinkedIn: wyszukujesz osobę decyzyjną w firmach z segmentu i kontaktujesz się przez platformę, szanując odmowę,
• list tradycyjny: konkretna propozycja na adres siedziby, z informacją, skąd masz dane, i prostą drogą sprzeciwu,
• wydarzenia i webinary: zaproszenie dla branży i regionu, promowane reklamą albo przez partnerów,
• reklama kierowana: kampanie na firmy z określonej branży i obszaru, w zgodzie z zasadami platformy,
• rozmowa przy okazji: spotkanie na targach, rekomendacja od klienta, kontakt przychodzący z Twojej strony.

Więcej o tym, jak dział marketingu przekłada segment na kampanię, piszemy na stronie dla marketingu, a o budowie samego segmentu we wpisie o generowaniu leadów B2B.

Pierwszy kontakt z prośbą o zgodę: ostrożnie

Częste pytanie brzmi: czy można wysłać jeden e-mail z prośbą o zgodę na przesłanie oferty? Tu stanowiska nie są jednolite. Część praktyków i organów nadzorczych uznaje, że wiadomość z prośbą o zgodę sama w sobie jest informacją handlową, zwłaszcza gdy opisuje ofertę, korzyści albo firmę nadawcy. Wtedy wysłanie jej bez zgody narusza przepisy, które miała obejść. Bezpieczniej traktować tę drogę jako ryzykowną i nie budować na niej kampanii.

Jeżeli rozważasz taki kontakt, ogranicz ryzyko:

• wiadomość zawiera wyłącznie pytanie o zgodę, bez opisu oferty, cen i zachęt,
• od razu realizujesz w niej obowiązek informacyjny z art. 14 RODO,
• brak odpowiedzi traktujesz jak odmowę i nie ponawiasz prośby,
• każdą odmowę wpisujesz na listę wykluczeń przed kolejnym eksportem.

Lepszą drogą jest zdobycie zgody tam, gdzie odbiorca sam przychodzi: formularz na stronie, zapis na webinar, rozmowa na targach, pobranie raportu branżowego. W sprawach spornych, na przykład gdy dział prawny i marketing inaczej czytają przepisy, warto zapytać prawnika specjalizującego się w ochronie danych.