Stan na 30 września 2026 r. Wysyłka ofert e-mailem, SMS-em lub przez telefon wymaga sprawdzenia dwóch różnych kwestii: czy wolno użyć danego kanału komunikacji na podstawie art. 398 Prawa komunikacji elektronicznej oraz na jakiej podstawie z RODO przetwarzane są dane osoby. Sam „uzasadniony interes” z RODO nie znosi wymogu wcześniejszej zgody na kanał, a zgoda na kanał nie zastępuje obowiązków informacyjnych i prawa sprzeciwu.
Wiele poradników nadal odsyła do art. 172 dawnego Prawa telekomunikacyjnego. Od 10 listopada 2024 r. zasadniczym przepisem jest art. 398 Prawa komunikacji elektronicznej. Reguluje on używanie automatycznych systemów wywołujących i telekomunikacyjnych urządzeń końcowych, w szczególności w usługach komunikacji interpersonalnej, do przesyłania informacji handlowej, w tym marketingu bezpośredniego. Wymaga uprzedniej zgody abonenta lub użytkownika końcowego. Ten tekst pokazuje, jak zastosować go do listy kontaktów, formularza i codziennej obsługi rezygnacji. Szersze podstawy przetwarzania opisuje nasz przewodnik po art. 6 RODO.
Dwie decyzje zamiast jednej zgody „na wszystko”
Pierwsza decyzja dotyczy kanału. Czy dana wiadomość jest informacją handlową albo marketingiem bezpośrednim i czy używa środka wymienionego w PKE? Jeżeli tak, trzeba ustalić, czy odbiorca wcześniej wyraził zgodę odpowiadającą temu sposobowi kontaktu. Art. 398 ust. 2 przewiduje, że zgoda może być wyrażona przez podanie identyfikującego adresu elektronicznego w celu otrzymywania informacji handlowej na ten adres. Nie jest to jednak uniwersalne pozwolenie na wszelkie przyszłe oferty, inne kanały albo promocję partnerów. Znaczenie ma kontekst, w którym adres został podany, i to, co odbiorca mógł rozsądnie zrozumieć.
Druga decyzja dotyczy danych osobowych. Adres e-mail zawierający nazwisko, numer telefonu klienta i historia kliknięć zwykle są danymi osobowymi. Administrator potrzebuje podstawy z art. 6 RODO, realizuje obowiązek informacyjny i ogranicza dane do potrzebnego zakresu. W zależności od relacji i celu podstawą może być zgoda z art. 6 ust. 1 lit. a albo prawnie uzasadniony interes z lit. f, po właściwej ocenie równowagi. Motyw 47 RODO wskazuje marketing bezpośredni jako możliwy interes, ale nie daje każdej kampanii automatycznej podstawy. Nasz test równowagi dla interesu uzasadnionego pomaga udokumentować tę drugą analizę. Nawet gdy podstawa z RODO jest poprawna, osobny wymóg PKE nadal może blokować wysyłkę.
Nie należy też mieszać pojęć informacji handlowej, obsługi umowy i komunikatu bezpieczeństwa. Wiadomość o zmianie hasła albo koniecznym terminie dostawy ma inny cel niż rabat na kolejny zakup. Gdy wiadomość łączy część serwisową z ofertą, oceniaj rzeczywisty przekaz, a nie nazwę szablonu. Oznaczenie kampanii jako „relacyjna” nie usuwa marketingowego charakteru oferty.
E-mail i newsletter: co oznacza podanie adresu
Przy formularzu newslettera wyjaśnij, kto jest nadawcą, jakiego rodzaju treści będą wysyłane i czy odbiorca zapisuje się na promocję własnych produktów, treści redakcyjne czy oferty innych podmiotów. Pole podania adresu powinno jednoznacznie służyć wskazanemu celowi. Jeśli adres został zebrany do wysłania faktury, nie wynika z tego samoistnie zgoda na newsletter. Jeśli służył zapowiadanemu cyklowi ofert, sprawdź, czy zakres i dowód tego działania odpowiadają art. 398 oraz, gdy podstawą RODO jest zgoda, art. 7 RODO.
Double opt-in, czyli potwierdzenie zapisu przez kliknięcie w wiadomości, jest dobrym sposobem ograniczania cudzych zapisów i budowania dowodu. Nie jest odrębnym ustawowym warunkiem ważności każdej zgody. Kluczowe jest wykazanie, kto i na co się zgodził, jak wyglądał formularz oraz kiedy nastąpiło potwierdzenie. Zbieraj tylko dane potrzebne do tego dowodu. Nie ma ogólnego obowiązku przechowywania adresu IP albo identyfikatora urządzenia przez określoną liczbę miesięcy; retencję trzeba uzasadnić wobec celu i potencjalnych roszczeń.
Nie zakładaj automatycznego „soft opt-in” dla wszystkich dotychczasowych klientów. Polski art. 398 nie zawiera ogólnego wyjątku sformułowanego tak, jak w niektórych zagranicznych poradnikach o podobnych produktach. Warto przeanalizować konkretny sposób pozyskania adresu, zwłaszcza treść i cel, dla którego klient go podał. Sam fakt zakupu towaru albo istnienia konta w sklepie nie dowodzi zgody na późniejszą reklamę. Praktykę sklepu warto porównać z naszym poradnikiem RODO dla e-commerce, ale decyzja o wysyłce wymaga sprawdzenia własnego formularza i historii zgód.
Każdy newsletter powinien mieć prosty sposób rezygnacji. Przy podstawie zgody z RODO jej wycofanie ma być równie łatwe jak udzielenie. Przy podstawie interesu uzasadnionego trzeba respektować bezwarunkowy sprzeciw wobec marketingu bezpośredniego z art. 21 ust. 2–3 RODO. Techniczny link wypisania jest dobrym rozwiązaniem, lecz nie jedynym dopuszczalnym sposobem; ważne, by działał i nie wymagał zbędnych przeszkód.
Telefon, SMS i komunikatory
Połączenie telefoniczne z ofertą i SMS promocyjny wymagają osobnej analizy kanału zgodnie z PKE. Nie wystarczy, że numer telefonu znajduje się w umowie lub w publicznym katalogu. Zgoda na e-mail nie powinna być domyślnie odczytywana jako zgoda na telefon. Jeżeli formularz proponuje kilka kanałów, przedstaw je w sposób jasny, aby dało się ustalić zakres decyzji użytkownika. Można zaprojektować osobne wybory dla e-maila, SMS-u i telefonu; nie jest to magiczna ustawowa liczba pól, tylko sposób na konkretną i weryfikowalną zgodę.
Automatyczne systemy wywołujące są w art. 398 wymienione wprost. Nie wynika z tego, że rozmowa prowadzona przez człowieka jest zawsze zwolniona z reguły: przepis obejmuje również używanie telekomunikacyjnych urządzeń końcowych do tego celu. Skrypt call center powinien więc zaczynać się od sprawdzenia źródła i zakresu zgody, a nie od pytania odbiorcy, czy zgodzi się dopiero w trakcie niezamówionej rozmowy reklamowej. Odmowę i sprzeciw trzeba przekazywać między zespołami, inaczej ten sam numer wróci w kolejnej kampanii.
Komunikator i powiadomienie aplikacji też wymagają oceny sposobu dostarczenia wiadomości, charakteru usługi i danych osobowych. Nie da się przyjąć ogólnej zasady, że każde powiadomienie w aplikacji wymaga zgody marketingowej albo że żadne jej nie wymaga. Powiadomienie o wykonaniu usługi jest czym innym niż kampania sprzedażowa. Dodatkowo obowiązują regulaminy platform, ale ich naruszenie i naruszenie RODO lub PKE to odrębne sprawy. Nie przypisuj automatycznie każdego kontaktu w WhatsApp czy Messengerze tej samej podstawie prawnej.
B2B i publicznie dostępne adresy
Adres „biuro@firma.pl” może nie identyfikować osoby fizycznej, a adres „anna.nowak@firma.pl” zwykle ją identyfikuje. Ta różnica ma znaczenie dla zastosowania RODO, ale sama w sobie nie zwalnia z wymogu PKE dotyczącego abonenta lub użytkownika końcowego. Art. 398 nie tworzy ogólnej zgody na reklamę tylko dlatego, że skrzynka jest firmowa albo adres opublikowano na stronie internetowej. Publikacja danych do kontaktu w sprawach obsługi nie musi oznaczać zaproszenia do wysyłania ofert.
W kampanii B2B rozdziel więc trzy pytania. Czy wiadomość ma charakter handlowy? Czy istnieje wymagana zgoda na wybrany kanał? Jeżeli używasz danych konkretnej osoby, jaka jest podstawa RODO i czy interes administratora nie przeważa nad jej prawami? Udokumentuj źródło kontaktu, cel pozyskania i treść pierwszej informacji. Nie wysyłaj pierwszej wiadomości reklamowej z prośbą „odpisz, jeśli chcesz się zgodzić”, zakładając, że prośba nie jest marketingiem. Przy szczególnych relacjach zawodowych rozróżnienie może wymagać oceny treści, a nie samego nagłówka.
Różne branże mają inne ścieżki pozyskania kontaktów. Agencja marketingowa często przetwarza listę na zlecenie klienta, a biuro nieruchomości może jednocześnie obsługiwać zapytanie o konkretny lokal i reklamować nowe oferty. W pierwszym wypadku ustal role administratora i procesora; w drugim oddziel odpowiedź na zapytanie od późniejszych kampanii. Branża nie zmienia art. 398, ale wpływa na faktyczny cel i oczekiwania odbiorcy.
Profilowanie i sprzeciw wobec marketingu
Segmentowanie klientów według historii zamówień jest przetwarzaniem danych, które wymaga własnej oceny podstawy i przejrzystej informacji. Nie każda segmentacja jest automatycznie zakazana ani automatycznie oparta na interesie uzasadnionym. Skala, źródła, wrażliwość danych i konsekwencje dla osoby zmieniają analizę. Szczególnie ostrożnie traktuj łączenie danych z wielu platform i wykorzystanie identyfikatorów reklamowych. Jeżeli na urządzeniu są odczytywane informacje, dochodzi osobna analiza reguł dotyczących cookies i zgód, w tym art. 399 PKE. Zgoda cookie nie zastępuje podstawy dla dalszego profilowania.
Art. 21 RODO daje osobie prawo sprzeciwienia się w dowolnym momencie przetwarzaniu na potrzeby marketingu bezpośredniego, także profilowaniu z nim związanemu. Po sprzeciwie danych nie wolno już przetwarzać w tym celu. Sprzeciw ten nie wymaga uzasadnienia szczególną sytuacją, w odróżnieniu od niektórych innych sprzeciwów. Informuj o tym wyraźnie najpóźniej przy pierwszym kontakcie, odrębnie od pozostałych komunikatów. UODO opisuje to prawo odbiorcy do sprzeciwu. System marketingowy powinien móc zastosować je do wszystkich odpowiednich list, a nie wyłącznie do bieżącego newslettera.
Skąd pochodzi lista i co wolno z nią zrobić
Zakup bazy nie przenosi automatycznie zgód na nabywcę. Przed użyciem listy ustal administratora, źródło danych, cel ich zebrania, treść informacji przekazanej osobom, zakres ewentualnych zgód kanałowych, daty i sposób udokumentowania. Sprawdź też obowiązek informacyjny z art. 14 RODO, gdy dane pochodzą od innego podmiotu. Brak przekonujących dowodów przemawia za rezygnacją z kampanii na tej liście, a nie za „testową” wysyłką do małej próbki.
Nie oznacza to, że każda transakcja dotycząca bazy jest z mocy prawa niedopuszczalna; znaczenie mają fakty i podstawa. Jednak deklaracja sprzedawcy, że „lista jest zgodna z RODO”, nie wystarcza. W umowie z dostawcą kampanii rozróżnij usługę na zlecenie od sytuacji, w której dostawca sam wybiera cele lub używa danych dla siebie. Przy powierzeniu potrzebna jest umowa z art. 28 RODO; pomocny jest wzór umowy powierzenia. Jeśli dostawca jest odrębnym administratorem, sama umowa powierzenia nie opisuje rzeczywistej relacji.
Dbaj także o bezpieczeństwo listy. Eksport do arkusza, ręczne wysłanie pliku agencji i kopiowanie kontaktów między kontami mogą zwiększyć ryzyko ujawnienia. Ogranicz dostęp i retencję, a przy incydencie oceń obowiązki z art. 33 RODO dotyczące zgłoszenia naruszenia. Samo posiadanie marketingowej zgody nie usprawiedliwia przechowywania pełnej historii kontaktów bez końca.
Warto też oddzielić zgodę na kontakt od zgody na odczyt informacji z urządzenia. Art. 399 PKE dotyczy przechowywania lub uzyskiwania dostępu do informacji w urządzeniu końcowym; w pewnych sytuacjach przewiduje wyjątki, na przykład gdy dostęp jest konieczny do transmisji albo dostarczenia usługi żądanej przez użytkownika. Nie należy automatycznie traktować takiego wyjątku jako pozwolenia na reklamowy identyfikator. Z kolei zgodę na e-mail z art. 398 trzeba badać osobno, nawet jeśli ktoś zaakceptował ustawienia cookies. Dawny artykuł o telekomunikacji i cookies daje kontekst historyczny, ale przy obecnej kampanii punktem odniesienia są przepisy PKE. Przed wdrożeniem sprawdź w przeglądarce i aplikacji, które identyfikatory rzeczywiście się zapisują oraz czy panel preferencji odzwierciedla działanie narzędzi. To pozwala uniknąć sytuacji, w której zgoda jest opisana poprawnie, lecz kod uruchamia skrypt przed dokonaniem wyboru.
Rejestr zgód i obsługa rezygnacji
Przechowuj tyle informacji, ile potrzeba, by wykazać zgodę i sprawnie respektować zmianę decyzji: identyfikator kontaktu, kanał i cel, tekst lub wersję komunikatu, źródło pozyskania, datę oraz status. W przypadku zgody wyrażonej przez podanie adresu dla określonego celu zachowaj kontekst formularza. Można dołączyć techniczne dane dowodowe, jeśli są potrzebne i proporcjonalne; nie ma uniwersalnego obowiązku zapisu IP w każdej bazie. Nasz wzór zgody na przetwarzanie danych pomaga sprawdzić jasność treści, ale trzeba go dopasować do konkretnego celu i kanału.
Po rezygnacji usuń kontakt z aktywnej kampanii bez zbędnej zwłoki. Często warto zachować minimalny zapis w liście blokującej, aby ponowny import nie spowodował wysyłki do osoby, która odmówiła. Podstawę, zakres i okres tego zapisu ustal oddzielnie; dawne „12–24 miesiące dla każdej zgody” nie wynikają z PKE ani RODO. Przetestuj, czy rezygnacja z wiadomości wysłanej przez agencję trafia także do administratora, czy dotyczy odpowiedniej marki i kanału, oraz czy żądanie osoby można obsłużyć bez logowania się do konta, którego już nie używa.
Jeżeli zgoda była podstawą RODO, jej wycofanie nie wpływa na zgodność wcześniejszego przetwarzania, ale blokuje dalsze działania oparte na tej zgodzie. Jeśli podstawa była interesem uzasadnionym, sprzeciw marketingowy z art. 21 ma własny skutek. Nie używaj technicznego słowa „wypisz” jako pretekstu do pominięcia jednego z tych żądań. Pracownicy obsługi powinni umieć rozpoznać rezygnację wypowiedzianą zwykłym językiem.
Audyt kampanii krok po kroku
Przed startem kampanii wybierz jedną listę i jeden kanał. Porównaj jej cel z pierwotnym sposobem zebrania danych. Obejrzyj historyczną wersję formularza, a nie tylko dzisiejszą. Sprawdź, czy odbiorcy mieszczą się w zakresie zgody kanałowej oraz jaka jest podstawa RODO. Usuń kontakty bez wystarczającego dowodu i tych, którzy się sprzeciwili. Następnie przetestuj wiadomość: czy jasno identyfikuje nadawcę, czy nie myli informacji serwisowej z ofertą, czy rezygnacja działa na telefonie i w skrzynce pocztowej?
Po wysyłce sprawdź skargi, odbicia, błędne segmenty i synchronizację blokad. Jeśli kampanię prowadzi agencja, określ kto odpowiada za dowód zgody i kto technicznie wykonuje rezygnację. Rozbieżności między systemami są często ważniejsze niż liczba zaznaczonych pól w formularzu. Zasada rzetelności i rozliczalności z art. 5 RODO wymaga, aby organizacja potrafiła wyjaśnić rzeczywisty przepływ danych. W szerszym przewodniku zgodności RODO opisujemy, jak przypisać właścicieli tych kontroli.
Nie opieraj oceny ryzyka na tabeli niezweryfikowanych kar z innych kampanii. Konsekwencje naruszenia zależą od przepisu, organu i okoliczności. PKE przewiduje sankcje za naruszenie art. 398, a UODO może osobno badać naruszenie RODO. Jeżeli interesują Cię decyzje organu, czytaj ich fakty i podstawę prawną, nie samą kwotę. Nasze zestawienie kar UODO może być punktem startowym do dalszej weryfikacji, lecz nie jest prognozą kary za konkretny newsletter.
Częste pytania
Czy e-mail do klienta sklepu można wysłać bez pytania o marketing?
Nie wynika to automatycznie z samego zakupu. Sprawdź, w jakim celu klient podał adres i czy spełnia to art. 398 PKE dla informacji handlowej. Osobno ustal podstawę RODO i wykonaj obowiązki informacyjne. Wiadomość wyłącznie transakcyjna ma inny charakter niż oferta.
Czy można dzwonić na numer znaleziony na stronie firmy?
Publiczna dostępność numeru nie jest sama w sobie uprzednią zgodą na marketing przez telefon. Przepis PKE obejmuje zarówno automatyczne systemy wywołujące, jak i urządzenia końcowe używane do przesyłania informacji handlowej. Oceń konkretny cel kontaktu i źródło zgody przed kampanią.
Czy double opt-in jest obowiązkowy?
Prawo nie nazywa tej techniki obowiązkową dla każdej kampanii. Jest przydatnym sposobem potwierdzenia, że adres podała właściwa osoba, i wykazania zakresu zapisu. Administrator musi umieć dowieść odpowiedniej zgody tam, gdzie się na nią powołuje.
Czy wystarczy jeden checkbox na e-mail, SMS i telefon?
Tylko jeśli komunikat rzeczywiście pozwala odbiorcy świadomie objąć tak szeroki zakres i można to potem wykazać. Oddzielne wybory są często bardziej przejrzyste i ułatwiają częściowe wycofanie. Nie wolno rozszerzać zgody na partnerów lub inne cele, których nie przedstawiono przy jej udzieleniu.
Co zrobić ze sprzeciwem wobec marketingu?
Zatrzymać przetwarzanie danych w tym celu, także profilowanie z nim związane. Propagować blokadę do wszystkich używanych narzędzi i podmiotów działających na zlecenie. Zachować minimalny dowód sprzeciwu, jeśli jest potrzebny do niedopuszczenia do ponownego kontaktu, z własną analizą retencji.