Kary UODO i UKE za cold mailing - ile i za co

Za cold mailing mogą ukarać dwa różne organy. UODO (Prezes Urzędu Ochrony Danych Osobowych) reaguje na naruszenia RODO, czyli sposób przetwarzania danych osobowych. Prezes UKE działa na podstawie Prawa komunikacji elektronicznej (PKE) i zajmuje się m.in. marketingiem bez wymaganej zgody. To dwa osobne reżimy i dwie osobne kary - jedno naruszenie może uruchomić oba.

W tym artykule tłumaczymy, kto może nałożyć karę za spam mailowy, jaka jest podstawa prawna, jak liczona jest wysokość kary i jakie kroki realnie zmniejszają ryzyko. Skupiamy się na mechanizmie wynikającym z przepisów, a nie na zgadywaniu konkretnych kwot.

To nie jest porada prawna. Artykuł ma charakter informacyjny i edukacyjny. W konkretnej sprawie skonsultuj się z radcą prawnym lub adwokatem specjalizującym się w ochronie danych i prawie nowych technologii. Wysokość i przesłanki kar oceniane są indywidualnie przez organy i sądy.

Kto może ukarać za cold mailing?

W polskim porządku prawnym za wysyłkę niezamówionych wiadomości handlowych odpowiadają dwa różne organy, każdy na innej podstawie:

• UODO (Prezes Urzędu Ochrony Danych Osobowych) - egzekwuje RODO, czyli ogólne rozporządzenie o ochronie danych. Interesuje go to, czy dane osobowe (np. imię i nazwisko właściciela firmy, jego adres e-mail) były przetwarzane z poszanowaniem przepisów: czy istniała podstawa prawna, czy spełniono obowiązek informacyjny, czy respektowano prawa osoby (np. prawo do sprzeciwu).
• Prezes UKE (Urząd Komunikacji Elektronicznej) - egzekwuje PKE, w tym przepisy o marketingu bezpośrednim za pomocą środków komunikacji elektronicznej. Interesuje go to, czy do wysyłki marketingu istniała wymagana zgoda odbiorcy.

Kluczowe rozróżnienie: UODO patrzy na dane osobowe, UKE patrzy na sam fakt wysłania marketingu bez zgody. Te dwie perspektywy mogą się zazębiać, ale są niezależne. Wysyłka jednej kampanii cold mailowej bez podstawy prawnej i bez zgody potencjalnie narusza oba reżimy naraz.

Warto też pamiętać, że poza karami administracyjnymi istnieje odrębna ścieżka cywilna: odbiorca, który czuje się poszkodowany, może dochodzić swoich roszczeń (np. z tytułu naruszenia dóbr osobistych) niezależnie od działań UODO czy UKE.

Jakie kary grożą za naruszenie RODO?

RODO przewiduje administracyjne kary pieniężne i robi to wprost w art. 83 rozporządzenia. To są maksymalne pułapy, a nie kwoty automatycznie nakładane przy każdym naruszeniu:

• za część naruszeń - do 10 mln EUR lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (zależnie od tego, która kwota jest wyższa),
• za najpoważniejsze naruszenia (m.in. dotyczące podstawowych zasad przetwarzania i praw osób) - do 20 mln EUR lub do 4% całkowitego rocznego światowego obrotu (zależnie od tego, która kwota jest wyższa).

To są widełki wynikające bezpośrednio z rozporządzenia. Nie oznaczają, że za pojedynczego cold maila zapłacisz miliony - oznaczają, gdzie jest górna granica i że obrót firmy realnie wpływa na maksymalny wymiar kary.

RODO wymienia też przesłanki, które organ bierze pod uwagę przy ustalaniu wysokości kary (art. 83 ust. 2). Mają one duże znaczenie praktyczne:

• charakter, waga i czas trwania naruszenia oraz liczba poszkodowanych osób,
• umyślny lub nieumyślny charakter naruszenia,
• działania podjęte w celu zminimalizowania szkody,
• stopień współpracy z organem nadzorczym,
• wcześniejsze naruszenia,
• kategorie danych, których dotyczyło naruszenie.

Inaczej mówiąc: organ ocenia nie tylko "czy", ale też "jak". Firma, która działała w dobrej wierze, miała dokumentację, szybko reagowała na sprzeciwy i współpracowała z UODO, jest w innej sytuacji niż taka, która świadomie ignorowała przepisy. Co istotne, RODO przewiduje również środki inne niż kara finansowa, na przykład upomnienie albo nakaz dostosowania przetwarzania do przepisów.

Jeśli chcesz zrozumieć, jakie podstawy przetwarzania danych w ogóle wchodzą w grę przy cold mailingu B2B, rozwijamy ten wątek w przewodniku RODO a cold mailing B2B.

Jakie kary przewiduje PKE?

Drugi reżim to Prawo komunikacji elektronicznej. Za naruszenia obowiązków wynikających z PKE - w tym za marketing bezpośredni za pomocą środków komunikacji elektronicznej bez wymaganej zgody - Prezes UKE może nakładać administracyjne kary pieniężne.

Tu trzeba być precyzyjnym i ostrożnym. Mechanizm kar w PKE jest skonstruowany inaczej niż prosta kwota "od-do". Ustawa przewiduje, że wysokość kary ustala się z uwzględnieniem określonych przesłanek, a w wielu przypadkach kara odnoszona jest do przychodu ukaranego podmiotu (kara liczona jako procent przychodu z określonego okresu). Dokładne wartości, sposób liczenia i górne limity określają konkretne przepisy ustawy PKE.

Świadomie nie podajemy tutaj jednej "magicznej liczby". Powód jest prosty: wysokość kary w PKE zależy od kwalifikacji naruszenia i od sytuacji finansowej podmiotu, a podanie błędnej, sztywnej kwoty wprowadzałoby w błąd. Jeśli potrzebujesz dokładnego pułapu dla konkretnego naruszenia, sprawdź aktualne brzmienie ustawy (link w źródłach) albo skonsultuj się z prawnikiem.

Co warto zapamiętać o reżimie PKE:

• Podstawą jest brak zgody - jeśli wysłałeś marketing elektroniczny do osoby, która nie wyraziła wymaganej uprzedniej zgody, jesteś w obszarze ryzyka PKE niezależnie od tego, jak "porządnie" przetworzyłeś dane.
• Kara może być powiązana z przychodem - czyli skala działalności wpływa na potencjalny wymiar kary.
• To kara administracyjna - nakłada ją organ w drodze decyzji, od której przysługują środki odwoławcze.

Sam mechanizm zgody i to, co zmieniło PKE w porównaniu z wcześniejszymi przepisami, opisaliśmy szerzej w przewodniku o cold mailingu B2B zgodnym z prawem.

UODO vs UKE - porównanie

Poniższa tabela porządkuje dwa reżimy. To uproszczenie poglądowe, a nie wykładnia prawna.

Najważniejszy wniosek z tabeli: to nie jest "albo-albo". Jedna kampania może zostać oceniona równolegle przez pryzmat danych osobowych (UODO) i przez pryzmat zgody marketingowej (UKE).

Jak uniknąć kary?

Nie ma magicznej tarczy, która gwarantuje zero ryzyka, ale jest zestaw praktyk, które realnie zmniejszają prawdopodobieństwo problemów i poprawiają twoją pozycję, gdyby kiedykolwiek doszło do kontroli. Poniższe wskazówki to higiena, a nie obietnica bezkarności.

1. Ustal i udokumentuj podstawę przetwarzania danych. Przy cold mailingu B2B najczęściej rozważa się tzw. prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), ale wymaga to oceny i udokumentowania, że interes ten nie narusza praw odbiorcy. Zapisz, skąd masz dane i dlaczego uznajesz przetwarzanie za dopuszczalne.
2. Pamiętaj o obowiązku informacyjnym. Odbiorca powinien wiedzieć, kto przetwarza jego dane, w jakim celu i jak skorzystać z przysługujących praw. Gotowy szkielet znajdziesz w generatorze klauzuli RODO.
3. Rozdziel dwie kwestie: dane i zgodę marketingową. RODO dotyczy danych, PKE dotyczy zgody na marketing elektroniczny. Spełnienie jednego nie zwalnia automatycznie z drugiego. Zastanów się, czy twój model wysyłki potrzebuje uprzedniej zgody.
4. Targetuj precyzyjnie i pisz do właściwych osób. Masowa wysyłka do przypadkowych adresów to prosta droga do skarg. Lepiej trafić do mniejszej, dobrze dobranej grupy firm, dla których oferta jest realnie istotna.
5. Zawsze umożliwiaj rezygnację i sprzeciw - i je respektuj. Każda wiadomość powinna dawać łatwy sposób wypisania się. Sprzeciw obsłuż natychmiast i nie kontaktuj się ponownie. Ignorowanie sprzeciwu to jeden z najgorszych scenariuszy w kontekście oceny naruszenia.
6. Trzymaj dokumentację i logi. Data wysyłki, źródło danych, treść klauzuli, obsłużone rezygnacje. Współpraca z organem i wykazanie staranności to przesłanki, które realnie wpływają na ocenę sprawy.
7. Reaguj na skargi szybko i merytorycznie. Większość spraw zaczyna się od skargi odbiorcy. Sprawna, kulturalna reakcja często wystarcza, by sprawa nie eskalowała.

Jeśli chcesz uporządkować to wszystko w jeden proces wysyłki, narzędzia takie jak OutreachPilot pomagają trzymać higienę: pracę na danych z publicznych źródeł (CEIDG, mapy), obsługę rezygnacji i porządek w kampaniach. To nie zastępuje oceny prawnej, ale ułatwia zachowanie staranności. Praktyczny rozkład tematu znajdziesz też w naszym przewodniku RODO a cold mailing B2B na blogu.

Najczęstsze pytania (FAQ)

Czy za jeden cold mail można dostać karę? Teoretycznie pojedyncza wiadomość też może być przedmiotem skargi i postępowania, bo naruszenie nie zależy od liczby maili, tylko od tego, czy istniała podstawa prawna i wymagana zgoda. W praktyce skala wysyłki, liczba skarg i umyślność wpływają na ocenę. Mniejsze, jednostkowe przypadki częściej kończą się reakcją na skargę niż wysoką karą, ale nie ma tu gwarancji.

Czy UODO i UKE mogą ukarać za to samo naruszenie? To dwa osobne reżimy oceniające różne rzeczy: UODO patrzy na przetwarzanie danych osobowych, UKE na marketing bez wymaganej zgody. Jedna kampania może więc podlegać ocenie z obu stron jednocześnie, bo dotyczą one różnych obowiązków. Konkretną kwalifikację w danej sprawie zawsze warto skonsultować z prawnikiem.

Ile dokładnie wynosi kara za niezamówioną informację handlową w PKE? Nie podajemy jednej sztywnej kwoty, bo wysokość kary w PKE zależy od kwalifikacji naruszenia i jest w wielu przypadkach odnoszona do przychodu ukaranego podmiotu. Dokładne pułapy i sposób liczenia określa ustawa PKE - sprawdź jej aktualne brzmienie (link w źródłach) lub skonsultuj się z prawnikiem.

Czy cold mailing B2B jest w ogóle legalny? Przepisy nie zakazują cold mailingu jako takiego, ale musi on spełniać wymogi obu reżimów: prawidłowe przetwarzanie danych (RODO) i kwestię zgody na marketing elektroniczny (PKE). Legalność zależy od tego, jak konkretnie prowadzisz wysyłkę, a nie od samego faktu, że to "B2B". Szczegóły rozkładamy w przewodniku o legalnym cold mailingu.

Co najbardziej zwiększa ryzyko kary za spam mailowy? Najgorzej oceniane są: brak jakiejkolwiek podstawy przetwarzania, ignorowanie sprzeciwów i rezygnacji, masowa wysyłka do przypadkowych adresów oraz brak dokumentacji. To sytuacje, w których trudno wykazać staranność, a liczba skarg rośnie.

Czy wpisanie firmy do CEIDG oznacza zgodę na cold mailing? Nie. Dostępność danych w rejestrze publicznym nie jest równoznaczna ze zgodą na marketing ani nie zwalnia z obowiązków RODO. Publiczne źródło danych to nie to samo co podstawa do dowolnego ich wykorzystania w celach marketingowych.

Podsumowanie

Kara za cold mailing może przyjść z dwóch kierunków: od UODO za naruszenie RODO (sposób przetwarzania danych osobowych) i od Prezesa UKE za naruszenie PKE (marketing bez wymaganej zgody). RODO podaje konkretne pułapy kar (do 20 mln EUR lub do 4% rocznego światowego obrotu za najpoważniejsze naruszenia), a PKE opiera się na mechanizmie, w którym kara administracyjna jest często odnoszona do przychodu - bez jednej uniwersalnej kwoty.

Najlepszą ochroną nie jest pojedynczy trik, lecz higiena całego procesu: udokumentowana podstawa przetwarzania, spełniony obowiązek informacyjny, świadomość kwestii zgody, precyzyjne targetowanie, sprawna obsługa rezygnacji i porządek w dokumentacji. To właśnie te elementy organy biorą pod uwagę przy ocenie sprawy.

Jeśli chcesz prowadzić cold mailing B2B w sposób uporządkowany i z zachowaniem staranności, załóż konto w OutreachPilot i zacznij od dobrze dobranej grupy odbiorców oraz czytelnej obsługi rezygnacji.

Na koniec jeszcze raz, bo to ważne: to nie jest porada prawna. Każda sytuacja jest inna, a ostateczną ocenę zgodności twoich kampanii z RODO i PKE powinien wydać prawnik znający szczegóły twojej działalności.

---

Źródła:

• RODO (ogólne rozporządzenie o ochronie danych), tekst w EUR-Lex: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679
• Prawo komunikacji elektronicznej (PKE), ISAP: https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240001221
• Urząd Ochrony Danych Osobowych (UODO): https://uodo.gov.pl
• Urząd Komunikacji Elektronicznej (UKE): https://uke.gov.pl