Czy mailing do firm jest legalny – kiedy wymaga zgody, jak zgodnie z RODO uniknąć kar i czym różni się od newslettera?

Cold mailing, czyli e‑mail do potencjalnego klienta bez wcześniejszej relacji, w segmencie B2B nie jest z góry zakazany. Trzeba jednak pilnować podstawy prawnej, jasnego przedstawienia nadawcy i prostego wypisu. Bez tego nawet dobrze napisana wiadomość może wyglądać jak spam.

W praktyce spotykają się tu dwa porządki: RODO oraz przepisy o komunikacji elektronicznej. Sprzedaż i marketing B2B muszą więc odpowiedzieć na kilka pytań. Kiedy potrzebujesz zgody? Jak pokazać opt‑out, żeby odbiorca nie musiał go szukać? I gdzie kończy się cold mailing, a zaczyna newsletter?

Czy mailing do firm jest legalny? Odpowiedź i warunki zgodności

Tak, mailing do firm może być legalny w Polsce. Przy informacji handlowej potrzebna jest jednak wcześniejsza zgoda odbiorcy. Do tego dochodzą obowiązki identyfikacyjne. Odbiorca ma od razu widzieć, kto pisze i po co. Prawo Komunikacji Elektronicznej, czyli PKE, w art. 398 zakazuje wysyłki informacji handlowej bez wyraźnej zgody abonenta albo użytkownika końcowego. E‑mail marketingowy co do zasady wpada właśnie w ten wymóg.

Ustawa o świadczeniu usług drogą elektroniczną to akt z 18 lipca 2002 r.. Jej art. 10 zakazuje przesyłania niezamówionej informacji handlowej do oznaczonego odbiorcy będącego osobą fizyczną. Prawo telekomunikacyjne w art. 172 blokowało używanie urządzeń końcowych i automatycznych systemów do marketingu bezpośredniego bez uprzedniej zgody. Od 10 listopada 2024 r. działa PKE. Przeniosło ono zasady zgód do art. 398 i zastąpiło te regulacje w odpowiednim zakresie.^[1]

Co to znaczy dla zwykłej wysyłki? Najpierw trzeba sprawdzić, czy wiadomość jest informacją handlową. Chodzi o każdą treść, która bezpośrednio albo pośrednio promuje towary, usługi lub wizerunek przedsiębiorcy. Sama nazwa domeny, adres e‑mail czy neutralny opis usług bez celu handlowego nie muszą jeszcze być taką informacją. PKE trzyma się tu założeń dyrektywy ePrivacy dotyczących niezamówionej komunikacji marketingowej.

Wiadomość e‑mail musi jasno pokazywać nadawcę. Nie może też zwodzić tematem, adresem ani sposobem wysyłki.

• Podaj pełną nazwę nadawcy, adres e‑mail oraz fizyczny adres siedziby firmy,
• Używaj prawdziwego adresu nadawcy, bez fałszywych domen i ukrytych przekierowań,
• Nie stosuj tematów typu „Re:” albo „Fwd:” przy pierwszym kontakcie.

Od 21 stycznia 2013 r. oferty wysyłane na firmowe adresy e‑mail były dopuszczalne według ówczesnej nowelizacji. Od 10 listopada 2024 r. cold mailing bez wcześniejszej zgody traktuje się już jako niedozwolony. Obecnie to PKE porządkuje zasady marketingu bezpośredniego.^[1]

Czy mailing jest legalny?

Tak, mailing może być legalną formą kontaktu B2B. O zgodności decyduje jednak treść oraz wymagana zgoda nadawcy. Ważne jest zwłaszcza to, czy wiadomość jest informacją handlową. Cold email to spersonalizowana wiadomość B2B do konkretnej osoby w firmie, z którą wcześniej nie było relacji. Od spamu odróżnia go selekcja i personalizacja, nie masowa wysyłka „do wszystkich”. To poprawia odbiór, ale nie zastępuje podstawy prawnej.

W skrócie: legalny mailing B2B wymaga wcześniejszej zgody, jasnej identyfikacji nadawcy i treści, która nie wprowadza w błąd.

Kiedy potrzebna jest zgoda na mailing B2B

Zgoda marketingowa jest potrzebna przed wysłaniem oferty handlowej e‑mailem do abonenta albo użytkownika końcowego. Po wejściu Prawa Komunikacji Elektronicznej dotyczy to także sytuacji, gdy odbiorcą jest osoba prawna. Abonent to podmiot, który dysponuje adresem i zawiera umowę telekomunikacyjną. Użytkownik końcowy faktycznie korzysta z urządzenia końcowego, na przykład laptopa lub smartfona. Wcześniej wysyłka informacji handlowych do osób prawnych również wymagała zgody na podstawie art. 172 Prawa telekomunikacyjnego.

Zgoda marketingowa musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie da się jej domniemać ani schować w regulaminie. Powinna wynikać z aktywnego działania, na przykład zaznaczenia czytelnego checkboxa. Taki checkbox nie może być zaznaczony z góry. Zgoda na przetwarzanie danych to osobne zezwolenie. Przy mailingu najważniejsza jest zgoda marketingowa na konkretny kanał.

Każdy kanał wymaga osobnego potwierdzenia. Inaczej traktujesz e‑mail, inaczej SMS, a jeszcze inaczej telefon. Wiadomości transakcyjne, wysyłane tylko w związku z obsługą zamówienia albo działaniem użytkownika, nie wymagają zgody marketingowej.

Czy można wysyłać oferty mailem do firm?

Tak, ale dopiero po uzyskaniu zgody i najlepiej w modelu dwuetapowym. Najpierw wysyłasz pytanie o zgodę na przedstawienie informacji handlowej. Dopiero potem, jeśli odbiorca się zgodzi, przekazujesz właściwą ofertę. Pierwszy kontakt w cold mailingu nie powinien zawierać promocji ani gotowej propozycji sprzedażowej. Double opt‑in działa podobnie. Po podaniu adresu e‑mail subskrybent potwierdza zapis przez kliknięcie linku w wiadomości weryfikacyjnej. To praktyka bezpieczniejsza prawnie i jakościowo.

Czy można wysyłać maile z ofertą do firm?

Tak, jeśli adres e‑mail wyraźnie udostępniono po to, aby otrzymywać informacje handlowe. Można też wysyłać ofertę, gdy wcześniej uzyskano zgodę. W pozostałych przypadkach nie należy wysyłać oferty. Informacja handlowa jest zamówiona wtedy, gdy odbiorca jasno podał swój adres właśnie w tym celu. Zgoda może więc wynikać z udostępnienia identyfikującego adresu elektronicznego do otrzymywania takich wiadomości. Cold maile na prywatne skrzynki bez wcześniejszej zgody są niedopuszczalne. E‑mail i SMS wymagają odrębnych zgód.

Wniosek: w B2B ofertę e‑mail wyślesz legalnie dopiero po ważnej, aktywnie udzielonej zgodzie na dany kanał, najlepiej potwierdzonej dwuetapowo.

RODO a mailing do firm: co z adresami pracowników

RODO to rozporządzenie Unii Europejskiej, które reguluje zbieranie, przetwarzanie i przechowywanie danych osobowych. Obejmuje także służbowe adresy e‑mail używane w mailingu B2B, jeśli identyfikują konkretną osobę. Adres z imieniem i nazwiskiem pracownika jest daną osobową i podlega pełnej ochronie RODO. Rozporządzenie dotyczy tylko osób fizycznych. Nie obejmuje więc danych osób prawnych ani ogólnych skrzynek typu „biuro@”.

Administrator danych decyduje o celach i sposobach przetwarzania. Gdy powołuje się na prawnie uzasadniony interes z Artykułu 6 ust. 1 lit. f RODO, powinien zrobić test równowagi. Taki test wskazuje interes, ocenia niezbędność działania i zestawia go z prawami odbiorcy. Wnioski trzeba zapisać. W cold mailingu ten dokument opisuje ryzyko. Pokazuje też, dlaczego kontakt nie narusza nadmiernie prywatności.

• Identyfikacja uzasadnionego interesu, np. dotarcie do decydentów B2B,
• Ocena niezbędności, czyli sprawdzenie, czy e‑mail jest najmniej inwazyjnym kanałem dla celu,
• Wyważenie z prawami i uzasadnionymi oczekiwaniami osoby,
• Udokumentowanie analizy: data, wnioski i środki minimalizacji.

Obowiązek informacyjny oznacza przekazanie osobie najważniejszych informacji o przetwarzaniu. W cold mailingu zwykle robi się to już w pierwszej wiadomości. Klauzula informacyjna powinna wskazywać tożsamość administratora, cele i okres przetwarzania oraz prawa odbiorcy. Powinna także zawierać link do polityki prywatności. Ustawa o ochronie danych osobowych uzupełnia RODO w Polsce. Określa między innymi kompetencje UODO jako krajowego organu nadzorczego.

• Tożsamość i dane kontaktowe administratora danych,
• Cel oraz przewidywany okres przechowywania danych,
• Prawa osoby: dostęp, sprzeciw, ograniczenie i usunięcie,
• Link do polityki prywatności z pełnymi szczegółami.

Brzmi urzędowo? W praktyce chodzi o prostą zasadę. Odbiorca ma wiedzieć, kto pisze, skąd ma jego dane i jak zatrzymać dalszy kontakt. Osoba może w każdej chwili wnieść sprzeciw wobec przetwarzania danych do celów marketingu bezpośredniego (art. 21 RODO). Dlatego każda wiadomość powinna mieć czytelny mechanizm rezygnacji. Polityka prywatności zbiera te informacje w jednym miejscu i opisuje realizację praw.

Podsumowanie: imienne adresy e‑mail pracowników w mailingu B2B podlegają RODO. Zgodność opiera się na teście równowagi, obowiązku informacyjnym i skutecznym sprzeciwie.

Czy mailing do firm jest zgodny z RODO?

Tak, mailing do firm może być zgodny z RODO. W cold mailingu najczęściej wskazuje się prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). RODO dopuszcza marketing usług własnych bez zgody, jeśli dane pozyskano legalnie i istnieje taka podstawa. Motyw 47 RODO wprost mówi, że marketing bezpośredni może stanowić prawnie uzasadniony interes. Ten interes nie zwalnia jednak z przejrzystości ani minimalizacji danych.^[2]

Czy adresy e-mail firmowe są objęte rozporządzeniem RODO?

RODO (art. 4 pkt 1) definiuje dane osobowe jako informacje o zidentyfikowanej albo możliwej do zidentyfikowania osobie fizycznej. Z tej definicji wynika, że adresy wskazujące konkretną osobę, na przykład imie.nazwisko@, podlegają RODO. Ogólne skrzynki typu biuro@ co do zasady nie podlegają takim zasadom. Jeśli jednak w konkretnym kontekście da się powiązać ogólny adres z jedną osobą, zacznie on działać jak dana osobowa.

Biuro@ vs imie.nazwisko@: czy obowiązują te same zasady

Biuro@ i imie.nazwisko@ nie są tym samym z punktu widzenia prawa. Liczy się to, czy adres identyfikuje osobę, czy tylko prowadzi do ogólnego kontaktu z firmą.

Różnica jest praktyczna. Ogólny adres prowadzi do podmiotu, czyli spółki w KRS, a imienny do człowieka. Taka osoba może być ujawniona w CEIDG albo widoczna w strukturze firmy. Wysyłanie informacji handlowych do spółek prawa handlowego z danymi pozyskanymi z KRS jest co do zasady dopuszczalne.

Werdykt jest prosty. Biuro@ sprawdza się przy pierwszych kontaktach i szerszych kampaniach B2B kierowanych do firm oraz spółek prawa handlowego. Adresów imie.nazwisko@ używaj tylko do precyzyjnej komunikacji 1:1 z konkretną osobą.

Podsumowanie: w B2B zwykle bezpieczniej kierować pierwszą wiadomość na ogólny adres firmy niż na imienną skrzynkę pracownika.

Szybkie wskazówki: jak wysyłać mailing B2B legalnie

Chcesz wysyłać mailing B2B legalnie? Zacznij od podstawy prawnej i dodaj link opt-out, czyli rezygnację w jednym kliknięciu. Ten link nie może być ukryty drobnym drukiem.

1. Wybierz podstawę prawną komunikacji, uzasadniony interes albo zgodę, i udokumentuj ją w procedurze,
2. Zidentyfikuj nadawcę: podaj pełną nazwę firmy, NIP i aktualne dane kontaktowe w stopce,
3. Napisz rzetelny temat i preheader, które nie wprowadzają w błąd i odpowiadają treści oferty,
4. Dodaj skróconą klauzulę informacyjną RODO i link do pełnej polityki prywatności,
5. Link opt-out – umieść go w treści i stopce; każda wiadomość marketingowa musi mieć łatwy i czytelny mechanizm rezygnacji z dalszego kontaktu;
6. Ustal limit częstotliwości kontaktu dla jednego adresu i pilnuj go w systemie wysyłkowym,
7. Prowadź rejestr sprzeciwów i automatycznie wykluczaj adresy z listy po rezygnacji,
8. Weryfikuj i dokumentuj źródła danych; stawiaj na własne relacje B2B zamiast niesprawdzonych, kupionych list.

Po tych krokach nawet testowa wysyłka da się sprawdzić w dokumentach i systemie. Widać nadawcę, klauzulę RODO oraz działający link opt‑out. To minimum, którego odbiorca ma prawo oczekiwać.

Jak sprawdzić legalność bazy i procesu mailingu – szybki audyt

Szybki audyt mailingu B2B w CRM zaczyna się od sprawdzenia zgodności procesu z RODO oraz UŚUDE/PT. CRM to system zarządzania relacjami z klientami. Przechowuje dane kontaktowe, zgody, sprzeciwy i logi wysyłek. Bez tych zapisów trudno udowodnić, że kampania była prowadzona prawidłowo.

1. Pochodzenie bazy – opisz, czy adresy pochodzą z publicznych źródeł, takich jak CEIDG/KRS i strony firm, czy z web-scrapingu bez podstawy; zachowaj materiał dowodowy;
2. Podstawa prawna przetwarzania – wykonaj test równowagi dla prawnie uzasadnionego interesu B2B albo udokumentuj uzyskaną zgodę; zapisz wynik i datę w systemie;
3. Statusy zgód i sprzeciwów w CRM – sprawdź datę, kanał i źródło; zgoda według RODO musi być rozliczalna, a przedsiębiorca powinien wykazać jej udzielenie;
4. Logi wysyłek i rezygnacji – zmapuj ID kampanii, daty, treści, rezygnacje/opt-out oraz notatki o sprzeciwach i połącz je z rekordami w CRM;
5. Polityka retencji – określ okresy przechowywania i kryteria usuwania albo anonimizacji danych oraz zaplanuj cykliczny przegląd retencji;
6. Umowy powierzenia z dostawcami – upewnij się, że ESP, CRM i narzędzia analityczne mają umowy z art. 28 RODO oraz jasno opisane transfery danych poza EOG;
7. Proces i treści wobec UŚUDE/PT – oceń identyfikację nadawcy, sposób realizacji sprzeciwu oraz ryzyko wysyłki niezamówionej informacji handlowej do abonenta.

Audyt można uznać za zaliczony, gdy dla każdego kroku masz dowody w CRM i dokumentach. Chodzi o test, logi, umowy oraz polityki. Proces powinien też zachować pełną zgodność z RODO i UŚUDE/PT.

Ryzyka i kary za nielegalny mailing do firm – co grozi

Nielegalny mailing do firm naraża nadawcę na sankcje administracyjne od PUODO i UKE. Dochodzą roszczenia cywilne oraz blacklisting domen i adresów IP u dostawców poczty. Przy cold mailingu B2B ryzyko rośnie zwłaszcza wtedy, gdy brakuje zgody albo skutecznego wypisu w każdej wiadomości. Jeden brakujący link może uruchomić serię problemów.

• Kary RODO od Prezesa UODO – za przetwarzanie danych pracowników bez podstawy prawnej grozi do 20 mln euro lub do 4% rocznego światowego obrotu; przykładem jest mailing na imie.nazwisko@ bez podstawy i klauzuli informacyjnej; ograniczenie ryzyka wymaga oparcia wysyłki na prawnie uzasadnionym interesie z oceną LIA i spełnienia obowiązku informacyjnego;^[3]
• Kary PKE od Prezesa UKE – za marketing bez wymaganej zgody abonenta albo użytkownika końcowego grozi do 3% przychodu; ograniczenie ryzyka wymaga zbierania zgód w modelu double opt-in i prowadzenia ewidencji zgód;
• Procedury skargowe i wezwania do zaniechania – odbiorca po zgłoszeniu spamu może wysłać wezwanie i złożyć skargę do organu, co uruchamia postępowanie wyjaśniające oraz obowiązek dostarczenia logów; ograniczenie ryzyka wymaga utrzymywania dzienników zgód, czasu wysyłki i szybkiego kanału kontaktu;
• Blacklisting i blokady techniczne – liczne skargi i odbicia skutkują filtracją, wpisem na listy RBL oraz blokadą domen/IP przez dostawców poczty; ograniczenie ryzyka wymaga widocznego linku opt-out, weryfikacji list i kontroli tempa wysyłki;
• Pozwy cywilne i koszty – adresaci mogą dochodzić roszczeń za naruszenie dóbr osobistych lub czyny nieuczciwej konkurencji, a spór generuje koszty pełnomocników; ograniczenie ryzyka wymaga honorowania sprzeciwów, segmentacji adresów i dokumentowania podstawy kontaktu.

Największe kłopoty pojawiają się wtedy, gdy brak dokumentów łączy się z brakiem technicznego wypisu. Aby ograniczyć ryzyko, warto sprawdzić podstawy prawne, zgody i mechanizmy rezygnacji jeszcze przed kampanią. W trakcie wysyłki monitoruj reputację domeny oraz wskaźnik skarg. Gdy dojdzie do naruszenia, trzeba szybko wstrzymać wysyłkę i potwierdzić usunięcie adresu z listy.

B2B vs B2C oraz cold mailing vs newsletter – kluczowe różnice

B2B, B2C, cold mailing i newsletter różnią się podstawą prawną, zgodą, treścią i częstotliwością. B2C oznacza komunikację do konsumenta, czyli osoby fizycznej. W tabeli widać, gdzie przebiega granica.

Newsletter trafia do zarejestrowanych subskrybentów, którzy wyrazili zgodę, zwykle w formacie HTML. Cold mailing B2B może opierać się na uzasadnionym interesie tylko przy targetowaniu ról służbowych. Wymaga też minimalizacji danych i proporcjonalności. Łatwy wypis pozostaje obowiązkowy. Werdykt: cold mailing B2B nadaje się do jednorazowego prospectingu decydentów w firmach. Newsletter służy do cyklicznej komunikacji i dla B2C.

Źródła

1. ISAP – „Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną” (2002) – https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20021441204
2. EUR-Lex – „RODO – art. 6 ust. 1 lit. f i motyw 47″ (2016) – https://eur-lex.europa.eu/eli/reg/2016/679/oj
3. UODO – „Ogólne rozporządzenie o ochronie danych (RODO) – kary administracyjne” (2018) – https://uodo.gov.pl/pl/138/1149

Kamil Sobański · Specjalista e-mail marketingu

Od kilkunastu lat zajmuję się e-mail marketingiem — buduję listy, projektuję newslettery i automatyzacje sprzedażowe dla małych firm oraz sklepów internetowych. Każdy program testuję od środka: zakładam konto, importuję bazę, tworzę kampanię, sprawdzam dostarczalność i wsparcie. W rankingu opisuję to, co realnie sprawdza się w polskich warunkach.