Czy kupno bazy firm jest legalne w Polsce?

1. Podstawy prawne: RODO i polskie przepisy

W Polsce podstawowym punktem odniesienia dla danych osobowych jest RODO, czyli GDPR, oraz ustawa o ochronie danych osobowych z 2018 r. Organem nadzorczym w tym obszarze jest Prezes Urzędu Ochrony Danych Osobowych, a urząd ten funkcjonuje jako UODO. Przepisy nie wprowadzają ogólnego zakazu kupowania baz przedsiębiorstw. O legalności decydują jednak konkretne dane, sposób ich pozyskania, cel udostępnienia i planowane wykorzystanie.

Samo określenie „dane firmowe” nie wyłącza ochrony osób fizycznych. Baza może zawierać zarówno informacje o spółkach, jak i dane przedsiębiorców prowadzących jednoosobową działalność lub imienne kontakty do pracowników. Przed zakupem warto sprawdzić, jakie kategorie informacji obejmuje plik i czy dostawca potrafi wyjaśnić ich pochodzenie oraz zasady udostępniania.

Publiczna dostępność informacji nie oznacza dowolności dalszego wykorzystania. Dane widoczne w rejestrze lub na stronie przedsiębiorstwa nadal mogą podlegać RODO. Nabywca, który sam określa cele i sposoby ich przetwarzania, zwykle staje się odrębnym administratorem. Powinien więc ocenić własną podstawę prawną, zabezpieczenia i obowiązki wobec osób, zamiast opierać całą ocenę na zapewnieniu sprzedawcy.

Osobną warstwą regulacji jest Prawo komunikacji elektronicznej, czyli PKE, obowiązujące od 10 listopada 2024 r. Jego art. 398 wymaga uprzedniej zgody na marketing bezpośredni przez e-mail i telefon, także w relacjach B2B. Legalne przechowywanie kontaktu nie przesądza zatem o legalności wysłania oferty.

2. Uzasadniony interes B2B i obowiązek informacyjny

Uzasadniony interes może stanowić podstawę niektórych operacji na danych osobowych zgodnie z art. 6 ust. 1 lit. f RODO. Nie działa jednak automatycznie tylko dlatego, że odbiorca prowadzi działalność gospodarczą. Administrator powinien wskazać konkretny, zgodny z prawem cel, wykazać niezbędność przetwarzania i ocenić, czy nie przeważają interesy lub podstawowe prawa osoby.

W praktyce oznacza to udokumentowany test równowagi. Zapisz, dlaczego potrzebujesz określonych danych, jakie są rozsądne oczekiwania osoby i czy cel można osiągnąć mniej ingerującymi środkami. Uwzględnij zakres informacji, kontekst ich publikacji oraz możliwe skutki wykorzystania. Samo stwierdzenie „chcemy zwiększyć sprzedaż” nie zastępuje takiej analizy ani nie uzasadnia zbierania wszystkiego, co jest dostępne.

Gdy pozyskujesz dane osobowe od dostawcy, a nie bezpośrednio od osoby, przeanalizuj obowiązek informacyjny z art. 14 RODO. Informacja powinna obejmować między innymi administratora, cele, podstawę prawną, kategorie i źródło danych, zasady przechowywania oraz prawa osoby. Przekaż ją w terminie wymaganym przez RODO; jeżeli powołujesz się na wyjątek, sprawdź jego przesłanki i udokumentuj ocenę.

Przy pracy z bazą firm dla sprzedaży rozdziel analizę przedsiębiorstw od działań wobec konkretnych osób. Uzasadniony interes nie zastępuje zgody wymaganej przez PKE. Również dołączenie klauzuli informacyjnej do niezamówionej oferty nie legalizuje wysyłki. Sprzeciw wobec przetwarzania danych do marketingu bezpośredniego trzeba respektować, kończąc takie przetwarzanie.

3. Cold mailing w Polsce: zgoda przed ofertą

Cold mailing rozumiany jako wysłanie oferty do odbiorcy bez wcześniejszej zgody nie staje się dozwolony przez oznaczenie wiadomości jako B2B. Art. 398 PKE wymaga uprzedniej zgody na marketing bezpośredni przez e-mail. Dotyczy to także kontaktu z przedsiębiorstwami. Ogólny adres firmowy nie jest więc sam w sobie podstawą do rozpoczęcia kampanii.

Przed wysyłką sprawdź, czy masz dowód zgody obejmującej planowaną komunikację i właściwy podmiot. Sam fakt umieszczenia adresu na stronie internetowej, zakupienia rekordu lub wcześniejszej wymiany korespondencji organizacyjnej nie dowodzi takiego uprawnienia. Jeżeli dostawca deklaruje posiadanie zgód, poproś o ich treść, sposób pozyskania i dokumentację pozwalającą ocenić zakres.

Wiadomość „czy mogę przesłać ofertę?” nie jest bezpiecznym obejściem przepisów. Jej rzeczywisty cel i treść mogą wskazywać na marketing bezpośredni, nawet gdy nie zawiera cennika. Podobnie możliwość wypisania się nie zastępuje uprzedniej zgody. Baza mailingowa jest zbiorem danych, a nie potwierdzeniem prawa do wysyłki; odbiorców kampanii wybieraj dopiero po sprawdzeniu uprawnień.

4. Telemarketing: firmowy numer nie wystarcza

Marketing telefoniczny również podlega wymogowi uprzedniej zgody wynikającemu z PKE. Nie zakładaj, że połączenie wykonane przez handlowca zamiast automatu jest wyłączone z tej zasady. Charakter rozmowy zależy od jej celu, a nie od stanowiska osoby dzwoniącej ani od tego, czy numer należy do firmy.

Przed przekazaniem listy zespołowi sprawdź dowody zgód i ich aktualny zakres. Ustal, kto może korzystać z numerów, w jakim celu i jak odnotowywane są wycofania zgody oraz sprzeciwy. Jeżeli obsługę połączeń zlecasz na zewnątrz, określ role stron i odpowiedzialność za przestrzeganie zasad. Samo zlecenie kampanii nie rozwiązuje problemu braku zgody.

Baza firm z numerami telefonów może wspierać porządkowanie informacji o rynku, ale obecność numeru nie daje prawa do rozmowy sprzedażowej. Nie przedstawiaj telefonu marketingowego jako neutralnego badania, jeśli rzeczywistym celem jest promocja. Wątpliwości dotyczące konkretnego scenariusza rozmowy wyjaśnij przed uruchomieniem działań, a nie dopiero po skardze odbiorcy.

5. Dane osobowe a dane firmy — praktyczne rozróżnienie

RODO chroni osoby fizyczne. Informacje dotyczące wyłącznie osoby prawnej co do zasady nie są danymi osobowymi, lecz jeden plik może łączyć obie kategorie. Oceniaj poszczególne pola i ich kontekst. Możliwość powiązania informacji z konkretnym człowiekiem ma większe znaczenie niż nazwa kolumny lub etykieta „kontakt biznesowy”.

6. Lista kontrolna: sześć kroków przed kontaktem

Wprowadź wspólną procedurę dla zakupów, marketingu i sprzedaży. Ocena prawna nie powinna kończyć się przy pobraniu pliku. Poniższą listę zastosuj przed importem danych do narzędzi kampanijnych, a następnie aktualizuj dokumentację, gdy zmieniają się cele, odbiorcy lub kanały.

1. Ustal cel i zakres. Opisz, do czego potrzebujesz bazy. Oddziel analizę rynku od komunikacji marketingowej i ogranicz zakres danych osobowych do informacji rzeczywiście potrzebnych.
2. Sprawdź dostawcę i pochodzenie danych. Zapytaj o źródła, sposób pozyskania oraz warunki udostępnienia. Przejrzyj próbkę; sam dostęp do danych nie potwierdza legalności każdego zastosowania.
3. Wybierz podstawę przetwarzania. Dla danych osobowych określ odpowiednią podstawę RODO. Jeśli korzystasz z uzasadnionego interesu, przeprowadź test równowagi i zachowaj uzasadnienie przyjętych wniosków.
4. Zaplanuj obowiązek informacyjny. Przygotuj informację wymaganą przez art. 14 RODO, ustal właściwy termin i sposób przekazania. Nie łącz jej automatycznie z ofertą wymagającą uprzedniej zgody.
5. Zweryfikuj zgody na kanał. Przed e-mailem lub telefonem marketingowym sprawdź dowód, treść i zakres zgody. Bez odpowiedniego potwierdzenia nie kieruj rekordu do kampanii.
6. Zabezpiecz dane i obsługuj rezygnacje. Ogranicz dostęp, ustal okresy przechowywania oraz procedurę realizacji praw. Utrzymuj niezbędne blokady kontaktu, aby sprzeciw lub wycofanie zgody nie zostały pominięte przy kolejnym imporcie.

7. Zastrzeżenie: to nie jest porada prawna

Ten przewodnik ma charakter informacyjny i nie stanowi porady prawnej ani gwarancji zgodności konkretnej kampanii. Przed wykorzystaniem zakupionych danych skonsultuj z prawnikiem lub inspektorem ochrony danych swój cel, dokumentację zgód, treść komunikacji i obowiązki administratora.

RODO, cold mailing i telemarketing — pytania i odpowiedzi

Powiązane bazy i poradniki

• Baza firm w Polsce
• Baza firm jednoosobowych
• Baza firm dla marketingu
• Jak kupić bazę firm
• Dane firm z CEIDG i KRS
• Metodologia danych