Bazy firm i cold outreach zgodnie z prawem: RODO w praktyce

Cold mailing a RODO to nie zakaz, lecz zestaw warunków: właściwa podstawa prawna, treść pierwszego kontaktu i higiena bazy, które da się spełnić bez prawniczego paraliżu. Wokół zimnych maili narosło w Polsce sporo mitów. Jedni wysyłają tysiące wiadomości z kupionych baz, bo w B2B rzekomo wszystko wolno, inni nie wysyłają niczego, bo RODO zabrania. Oba podejścia mijają się z przepisami. Zasady pochodzą z dwóch różnych aktów prawnych, a od 10 listopada 2024 roku jeden z nich, nowe Prawo komunikacji elektronicznej, zastąpił wcześniejsze przepisy i jednoznacznie objął wymogiem zgody także firmy. Poniżej mapa tych przepisów, legalne źródła danych, sposób prowadzenia pierwszego kontaktu, obowiązki wobec adresatów i lista praktyk, które kończą się karami.

(To omówienie praktyczne, nie porada prawna. Przepisy i ich wykładnia zmieniają się, dlatego przed uruchomieniem kampanii warto skonsultować jej założenia z prawnikiem.)

Co wolno, czego nie: mapa przepisów

Kontakt handlowy z firmą, której nie znasz, regulują jednocześnie dwa akty prawne. Odpowiadają na dwa różne pytania i trzeba spełnić wymagania obu:

• RODO: odpowiada na pytanie, czy wolno Ci przetwarzać dane osoby, do której piszesz. Dotyczy danych osób fizycznych, w tym imiennych adresów służbowych i danych osób prowadzących jednoosobową działalność. Podstawą bywa prawnie uzasadniony interes administratora, czyli marketing własnych usług, pod warunkiem spełnienia obowiązku informacyjnego i respektowania sprzeciwu.
• Prawo komunikacji elektronicznej: odpowiada na pytanie, czy wolno Ci wysłać informację handlową danym kanałem. Od 10 listopada 2024 roku art. 398 tej ustawy zakazuje przesyłania informacji handlowej, w tym marketingu bezpośredniego, pocztą elektroniczną, telefonicznie i przez komunikatory bez uprzedniej zgody adresata. Przepis chroni wszystkich abonentów i użytkowników końcowych, więc obejmuje także firmy.

Z tego zestawienia wynika najważniejsza rzecz: RODO samo nie zakazuje kontaktu z firmą, ale Prawo komunikacji elektronicznej wymaga zgody na przesłanie oferty, również w relacjach między przedsiębiorcami. Wcześniej część praktyków przyjmowała, że na ogólne adresy spółek, takie jak biuro@, ofertę można wysłać bez zgody. Obecne brzmienie przepisu nie daje do tego podstaw. Zgoda może natomiast zostać wyrażona przez udostępnienie adresu właśnie w tym celu, na przykład gdy firma publikuje adres, na który prosi o kierowanie ofert. Legalny outreach polega więc na zdobyciu zgody albo na dotarciu kanałem, którego zakaz nie obejmuje.

Skąd brać dane firm legalnie

Dane firm są w Polsce w dużej części jawne. Rejestry publiczne, czyli KRS i CEIDG, podają nazwy, adresy i przedmiot działalności. Strony internetowe firm zawierają dane kontaktowe i nazwiska osób odpowiedzialnych za poszczególne działy. Do tego dochodzą katalogi branżowe, listy wystawców targowych, profile w serwisach zawodowych i własne źródła: wizytówki z wydarzeń, zapytania sprzed lat, kontakty handlowców.

Jawność danych nie oznacza dowolności. Jeśli dane dotyczą osoby fizycznej (imię, nazwisko, imienny adres, numer telefonu, także przedsiębiorcy z CEIDG), stosuje się RODO: trzeba mieć podstawę prawną, zapisać źródło danych i poinformować tę osobę o przetwarzaniu. Automatyczne pobieranie danych ze stron i serwisów bywa dodatkowo sprzeczne z ich regulaminami. Przy kupnie gotowej bazy ryzyko jest największe, bo odpowiadasz za jej wykorzystanie, a rzadko możesz sprawdzić, skąd pochodzą rekordy i czy komukolwiek przekazano wymagane informacje. Praktyczna zasada: mała lista zbudowana samodzielnie, z zanotowanym źródłem każdego kontaktu, jest bezpieczniejsza i skuteczniejsza niż duża baza niewiadomego pochodzenia. Jak outreach wypada na tle innych kanałów pod względem kosztu i tempa, pokazujemy w porównaniu Pozyskiwanie klientów B2B: wielkie porównanie kanałów.

Pierwszy mail: jak pytać o zgodę na ofertę

Skoro oferta wymaga zgody, pierwszy kontakt nie może być ofertą. Przez lata rynek radził sobie wiadomością z pytaniem, czy adresat zgodzi się otrzymać propozycję. Trzeba wiedzieć, że taka praktyka budzi spory: urzędy i sądy uznawały w niektórych sprawach, że już samo zapytanie o zgodę służy marketingowi. Kto mimo to decyduje się na tę drogę, powinien pamiętać, że ryzyka nie da się wyeliminować, i ograniczyć je do minimum:

• Napisz krótko, kim jesteś i dlaczego piszesz właśnie do tej osoby lub firmy, z odniesieniem do jej działalności.
• Nie dołączaj oferty, cennika, katalogu ani linku do strony sprzedażowej. Wiadomość nie może zachwalać produktu.
• Zadaj jedno pytanie: czy adresat zgadza się na przesłanie informacji handlowej na ten adres. Brak odpowiedzi nie jest zgodą.
• Podaj dane swojej firmy, źródło, z którego masz kontakt, i prosty sposób na zgłoszenie sprzeciwu wobec dalszych wiadomości.

Bezpieczniejsze są drogi, w których zgoda powstaje bez zimnej wiadomości elektronicznej. Pierwsza to treści i reklamy, po których odbiorca sam zostawia kontakt w formularzu z odpowiednią zgodą. Druga to rozmowa na targach lub wydarzeniu branżowym zakończona prośbą o przesłanie materiałów. Trzecia to list wysłany pocztą tradycyjną, której zakaz z Prawa komunikacji elektronicznej nie dotyczy, choć RODO stosuje się nadal. Czwarta to budowanie relacji w serwisie zawodowym bez przesyłania oferty w wiadomości oraz reklamy kierowane do wybranych stanowisk i firm LinkedIn Ads w Polsce.

Obowiązki: informacja, wypis, rejestr

Niezależnie od wybranej drogi przetwarzanie danych osób kontaktowych nakłada trzy stałe obowiązki:

• Informacja: osoba, której dane masz z innego źródła niż od niej samej, powinna dowiedzieć się, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarza dane, skąd je ma i jakie prawa jej przysługują. Informację przekazuje się najpóźniej przy pierwszej komunikacji, nie później niż w ciągu miesiąca od pozyskania danych.
• Wypis: wobec marketingu bezpośredniego przysługuje sprzeciw, którego nie trzeba uzasadniać. Po jego zgłoszeniu kończysz przetwarzanie w tym celu. Zgodę na komunikację można z kolei wycofać równie łatwo, jak się jej udzieliło.
• Rejestr: prowadź listę zgód z datą i źródłem, listę sprzeciwów, z którą porównujesz każdą nową wysyłkę, oraz notatkę o pochodzeniu każdego rekordu. Do dokumentacji należy też rejestr czynności przetwarzania, jeśli firma ma obowiązek go prowadzić. W razie skargi to te zapisy dowodzą, że działałeś zgodnie z prawem.

Do tego dochodzi ograniczenie czasu przechowywania: kontakt, który przez rok lub dwa nie zareagował, nie powinien leżeć w bazie bezterminowo. Warto też spisać krótką analizę uzasadnionego interesu, czyli powód, dla którego kontaktujesz się z daną grupą i dlaczego nie narusza to jej praw. To jedna strona tekstu, o którą urząd może zapytać w razie kontroli. Najczęstszy błąd organizacyjny to lista sprzeciwów prowadzona osobno przez każdego handlowca: osoba, która wypisała się u jednego, po miesiącu dostaje wiadomość od drugiego.

Telefon kontra mail: różnice prawne

Wiele firm zakłada, że telefon jest bezpieczniejszy od maila. W obecnym stanie prawnym tak nie jest. Zakaz z art. 398 obejmuje używanie telekomunikacyjnych urządzeń końcowych do marketingu bezpośredniego, a więc także połączenia głosowe i wiadomości SMS, również do firm. Telefon z ofertą do nieznanej spółki wymaga uprzedniej zgody tak samo jak mail.

Różnice są praktyczne. Zgody na kontakt telefoniczny i na pocztę elektroniczną to osobne zgody dla osobnych kanałów, więc jedna nie zastępuje drugiej. Prośba o zgodę wypowiedziana na początku rozmowy była kwestionowana przez organy ochrony konsumentów, a rozmowę trudniej udokumentować niż wiadomość, więc wykazanie zgody bywa kłopotliwe. Telefon pozostaje natomiast w pełni dozwolony tam, gdzie zgoda istnieje: do osoby, która zostawiła numer w formularzu z prośbą o kontakt, do klienta, który pytał o ofertę, do rozmówcy z targów, który poprosił o telefon. Dlatego w dobrze ustawionym procesie dzwoni się do leadów, a nie do list.

Praktyki, za które są kary

Sankcje grożą z kilku stron jednocześnie. Za naruszenie zakazu przesyłania informacji handlowej bez zgody Prezes Urzędu Komunikacji Elektronicznej może nałożyć karę do 3 procent przychodu z poprzedniego roku lub do miliona złotych. Samo wysyłanie pozostaje też wykroczeniem zagrożonym grzywną, a przedsiębiorca, którego interes naruszono, w tym adresat lub konkurent, może dochodzić roszczeń z tytułu czynu nieuczciwej konkurencji. Za naruszenia RODO Prezes UODO nakłada kary sięgające 20 milionów euro lub 4 procent rocznego obrotu.

W praktyce postępowania wywołują powtarzalne zachowania: masowe wysyłki z kupionych baz, oferta wysłana bez zgody na imienne adresy, brak informacji o źródle danych, ignorowanie sprzeciwów i próśb o usunięcie, ukrywanie tożsamości nadawcy oraz udawanie odpowiedzi na wcześniejszą korespondencję. Sprawy zaczynają się zwykle od skargi jednej zirytowanej osoby, dlatego liczba wysłanych wiadomości ma mniejsze znaczenie niż to, jak firma reaguje na pierwsze żądanie. Kto odpowiada w ciągu dnia, usuwa dane i potrafi pokazać, skąd je miał, ma dużo większą szansę zakończyć sprawę na jednej wymianie wiadomości.