Kary UODO i UKE za cold mailing - ile i za co

Odpowiedzialność za cold mailing może przyjść z kilku niezależnych kierunków naraz. Dwa organy administracyjne to Prezes UODO i Prezes UKE, ale PKE przewiduje też odpowiedzialność za wykroczenie (art. 448) i kwalifikuje naruszenie jako czyn nieuczciwej konkurencji (art. 398 ust. 4), co otwiera drogę cywilną. UODO (Prezes Urzędu Ochrony Danych Osobowych) reaguje na naruszenia RODO, czyli sposób przetwarzania danych osobowych. Prezes UKE działa na podstawie Prawa komunikacji elektronicznej (PKE) i zajmuje się m.in. marketingiem bez wymaganej zgody. To dwa osobne reżimy i dwie osobne kary - jedno naruszenie może uruchomić oba.

W tym artykule tłumaczymy, kto może nałożyć karę za spam mailowy, jaka jest podstawa prawna, jak liczona jest wysokość kary i jakie kroki realnie zmniejszają ryzyko. Skupiamy się na mechanizmie wynikającym z przepisów, a nie na zgadywaniu konkretnych kwot.

Materiał informacyjny, nie stanowi porady prawnej. Stan prawny na 25 lipca 2026 r. W konkretnej sprawie skonsultuj się z radcą prawnym lub adwokatem specjalizującym się w ochronie danych i prawie nowych technologii. Wysokość i przesłanki kar oceniane są indywidualnie przez organy i sądy, a orzecznictwo w tym obszarze wciąż się kształtuje.

Kto może ukarać za cold mailing?

W polskim porządku prawnym za wysyłkę niezamówionych wiadomości handlowych odpowiadają dwa różne organy, każdy na innej podstawie:

• UODO (Prezes Urzędu Ochrony Danych Osobowych) - egzekwuje RODO, czyli ogólne rozporządzenie o ochronie danych. Interesuje go to, czy dane osobowe (np. imię i nazwisko właściciela firmy, jego adres e-mail) były przetwarzane zgodnie z prawem: czy istniała podstawa prawna, czy spełniono obowiązek informacyjny, czy respektowano prawa osoby (np. prawo do sprzeciwu).
• Prezes UKE (Urząd Komunikacji Elektronicznej) - egzekwuje PKE, w tym przepisy o marketingu bezpośrednim za pomocą środków komunikacji elektronicznej. Interesuje go to, czy do wysyłki marketingu istniała wymagana zgoda odbiorcy.

Kluczowe rozróżnienie: UODO patrzy na dane osobowe, UKE patrzy na sam fakt wysłania marketingu bez zgody. Te dwie perspektywy mogą się zazębiać, ale są niezależne. Wysyłka jednej kampanii cold mailowej bez podstawy prawnej i bez zgody potencjalnie narusza oba reżimy naraz.

Warto też pamiętać o ścieżce cywilnej. Art. 398 ust. 4 PKE stanowi, że naruszenie zakazu z ust. 1 jest czynem nieuczciwej konkurencji w rozumieniu ustawy z 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji. Z roszczeniami o zaniechanie, usunięcie skutków i naprawienie szkody może więc wystąpić nie tylko odbiorca wiadomości, ale także konkurent, którego interes został zagrożony. Ta droga działa niezależnie od postępowań przed UODO i UKE.

Jakie kary grożą za naruszenie RODO?

RODO przewiduje administracyjne kary pieniężne i robi to wprost w art. 83 rozporządzenia. To są maksymalne pułapy, a nie kwoty automatycznie nakładane przy każdym naruszeniu:

• za część naruszeń - do 10 mln EUR lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (zależnie od tego, która kwota jest wyższa),
• za najpoważniejsze naruszenia (m.in. dotyczące podstawowych zasad przetwarzania i praw osób) - do 20 mln EUR lub do 4% całkowitego rocznego światowego obrotu (zależnie od tego, która kwota jest wyższa).

To są widełki wynikające bezpośrednio z rozporządzenia. Nie oznaczają, że za pojedynczego cold maila zapłacisz miliony - oznaczają, gdzie jest górna granica i że obrót firmy realnie wpływa na maksymalny wymiar kary.

RODO wymienia też przesłanki, które organ bierze pod uwagę przy ustalaniu wysokości kary (art. 83 ust. 2). Mają one duże znaczenie praktyczne:

• charakter, waga i czas trwania naruszenia oraz liczba poszkodowanych osób,
• umyślny lub nieumyślny charakter naruszenia,
• działania podjęte w celu zminimalizowania szkody,
• stopień współpracy z organem nadzorczym,
• wcześniejsze naruszenia,
• kategorie danych, których dotyczyło naruszenie.

Inaczej mówiąc: organ ocenia nie tylko "czy", ale też "jak". Firma, która działała w dobrej wierze, miała dokumentację, szybko reagowała na sprzeciwy i współpracowała z UODO, jest w innej sytuacji niż taka, która świadomie ignorowała przepisy. Co istotne, RODO przewiduje również środki inne niż kara finansowa, na przykład upomnienie albo nakaz dostosowania przetwarzania do przepisów.

Jeśli chcesz zrozumieć, jakie podstawy przetwarzania danych w ogóle wchodzą w grę przy cold mailingu B2B, rozwijamy ten wątek w [przewodniku RODO a cold mailing B2B](/poradnik/rodo-cold-mailing-b2b).

Jakie kary przewiduje PKE?

Drugi reżim to Prawo komunikacji elektronicznej. Za naruszenia obowiązków wynikających z PKE - w tym za marketing bezpośredni za pomocą środków komunikacji elektronicznej bez wymaganej zgody - Prezes UKE może nakładać administracyjne kary pieniężne.

Podstawą jest art. 398 ust. 1 PKE. Przepis zakazuje używania automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, "chyba że uprzednio wyraził on na to zgodę".

Sankcję określa art. 446 ust. 5 w związku z art. 444 ust. 1 pkt 81 PKE. Prezes UKE nakłada karę w drodze decyzji, biorąc pod uwagę charakter i zakres naruszenia, w wysokości do 3% przychodu ukaranego podmiotu osiągniętego w poprzednim roku kalendarzowym lub do 1 000 000 zł, przy czym zastosowanie ma kwota wyższa (ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221, w mocy od 10 listopada 2024 r.).

Zwróć uwagę na słowa "kwota wyższa", bo one odwracają intuicję. Próg 3% jest wiążący dopiero przy przychodzie powyżej około 33 mln zł. Poniżej tego poziomu górną granicą pozostaje 1 000 000 zł. Art. 446 ust. 5 wyłącza przy tym stosowanie ust. 3, czyli ogólnego progu 15 000 zł dla podmiotów o przychodzie do 500 000 zł. Mała skala działalności nie obniża tu pułapu kary.

To nie jedyna ścieżka. Art. 448 ust. 1 PKE czyni z przesyłania informacji handlowych bez uprzedniej zgody wykroczenie zagrożone grzywną, ścigane na żądanie pokrzywdzonego. Art. 398 ust. 4 PKE kwalifikuje naruszenie zakazu jako czyn nieuczciwej konkurencji w rozumieniu ustawy z 16 kwietnia 1993 r., co otwiera drogę roszczeń cywilnych także konkurentom, nie tylko odbiorcom wiadomości.

Co warto zapamiętać o reżimie PKE:

• Podstawą jest brak zgody - jeśli wysłałeś marketing elektroniczny do osoby, która nie wyraziła wymaganej uprzedniej zgody, jesteś w obszarze ryzyka PKE niezależnie od tego, jak "porządnie" przetworzyłeś dane.
• Pułap to 3% przychodu albo 1 000 000 zł, w zależności od tego, która kwota jest wyższa (art. 446 ust. 5 PKE). Dla firm o przychodzie poniżej ok. 33 mln zł wiążący jest próg kwotowy, więc niewielka skala działalności nie obniża maksymalnego wymiaru kary.
• To kara administracyjna - nakłada ją organ w drodze decyzji, od której przysługują środki odwoławcze.

Sam mechanizm zgody i to, co zmieniło PKE w porównaniu z wcześniejszymi przepisami, opisaliśmy szerzej w przewodniku o cold mailingu B2B zgodnym z prawem.

UODO vs UKE - porównanie

Poniższa tabela porządkuje dwa reżimy. To uproszczenie poglądowe, a nie wykładnia prawna.

Najważniejszy wniosek z tabeli: to nie jest "albo-albo". Jedna kampania może zostać oceniona równolegle przez pryzmat danych osobowych (UODO) i przez pryzmat zgody marketingowej (UKE).

Jak uniknąć kary?

Nie ma magicznej tarczy, która gwarantuje zero ryzyka, ale jest zestaw praktyk, które realnie zmniejszają prawdopodobieństwo problemów i poprawiają twoją pozycję, gdyby kiedykolwiek doszło do kontroli. Poniższe wskazówki to higiena, a nie obietnica bezkarności.

1. Ustal i udokumentuj podstawę przetwarzania danych. Przy cold mailingu B2B najczęściej rozważa się tzw. prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), ale wymaga to oceny i udokumentowania, że interes ten nie narusza praw odbiorcy. Zapisz, skąd masz dane i dlaczego uznajesz przetwarzanie za dopuszczalne.
2. Pamiętaj o obowiązku informacyjnym. Odbiorca powinien wiedzieć, kto przetwarza jego dane, w jakim celu i jak skorzystać z przysługujących praw. Gotowy szkielet znajdziesz w [generatorze klauzuli RODO](/narzedzia/generator-klauzuli-rodo).
3. Rozdziel dwie kwestie: dane i zgodę marketingową. RODO dotyczy danych, PKE dotyczy zgody na marketing elektroniczny. Spełnienie jednego nie zwalnia automatycznie z drugiego. Przy przesyłaniu informacji handlowej środkami komunikacji elektronicznej art. 398 ust. 1 PKE wymaga uprzedniej zgody; sporne jest natomiast, czy udostępnienie adresu w rozumieniu art. 398 ust. 2 PKE tę zgodę wyczerpuje, i to jest pytanie do rozstrzygnięcia z prawnikiem przed uruchomieniem wysyłki.
4. Targetuj precyzyjnie i pisz do właściwych osób. Masowa wysyłka do przypadkowych adresów to prosta droga do skarg. Lepiej trafić do mniejszej, dobrze dobranej grupy firm, dla których oferta jest realnie istotna.
5. Zawsze umożliwiaj rezygnację i sprzeciw - i je respektuj. Każda wiadomość powinna dawać łatwy sposób wypisania się. Sprzeciw obsłuż natychmiast i nie kontaktuj się ponownie. Ignorowanie sprzeciwu to jeden z najgorszych scenariuszy w kontekście oceny naruszenia.
6. Trzymaj dokumentację i logi. Data wysyłki, źródło danych, treść klauzuli, obsłużone rezygnacje. Współpraca z organem i wykazanie staranności to przesłanki, które realnie wpływają na ocenę sprawy.
7. Reaguj na skargi szybko i merytorycznie. Większość spraw zaczyna się od skargi odbiorcy. Sprawna, kulturalna reakcja często wystarcza, by sprawa nie eskalowała.

Praktyczny rozkład tematu znajdziesz też w przewodniku o cold mailingu B2B a prawie.

Najczęstsze pytania (FAQ)

Czy za jeden cold mail można dostać karę? Teoretycznie pojedyncza wiadomość też może być przedmiotem skargi i postępowania, bo naruszenie nie zależy od liczby maili, tylko od tego, czy istniała podstawa prawna i wymagana zgoda. W praktyce skala wysyłki, liczba skarg i umyślność wpływają na ocenę. Mniejsze, jednostkowe przypadki częściej kończą się reakcją na skargę niż wysoką karą, ale nie ma tu gwarancji.

Czy UODO i UKE mogą ukarać za to samo naruszenie? To dwa osobne reżimy oceniające różne rzeczy: UODO patrzy na przetwarzanie danych osobowych, UKE na marketing bez wymaganej zgody. Jedna kampania może więc podlegać ocenie z obu stron jednocześnie, bo dotyczą one różnych obowiązków. Konkretną kwalifikację w danej sprawie zawsze warto skonsultować z prawnikiem.

Ile dokładnie wynosi kara za niezamówioną informację handlową w PKE? Art. 446 ust. 5 PKE przewiduje karę do 3% przychodu ukaranego podmiotu osiągniętego w poprzednim roku kalendarzowym lub do 1 000 000 zł, przy czym zastosowanie ma kwota wyższa. To pułap maksymalny, a nie kwota nakładana automatycznie: Prezes UKE ustala wysokość, biorąc pod uwagę charakter i zakres naruszenia. Niezależnie od niej art. 448 ust. 1 PKE przewiduje odpowiedzialność za wykroczenie w postaci grzywny, ściganą na żądanie pokrzywdzonego. Kwalifikację konkretnego stanu faktycznego warto skonsultować z prawnikiem.

Czy cold mailing B2B jest w ogóle legalny? Art. 398 ust. 1 PKE jest skonstruowany jako zakaz z wyjątkiem: przesyłanie informacji handlowej środkami komunikacji elektronicznej jest zakazane, chyba że odbiorca uprzednio wyraził na to zgodę. Przepis posługuje się pojęciami "abonent" i "użytkownik końcowy", a nie "konsument", więc na poziomie językowym nie zawiera wyłączenia dla B2B. Spór dotyczy art. 398 ust. 2, czyli tego, kiedy udostępnienie adresu elektronicznego samo w sobie stanowi zgodę: część komentatorów podkreśla, że przepis wymaga udostępnienia go "w celu przesyłania informacji handlowej", więc adres opublikowany w stopce strony tego warunku nie spełnia, inni dopuszczają szersze rozumienie. Odrębną warstwą pozostaje podstawa przetwarzania danych z RODO, która zgody z PKE nie zastępuje. Szczegóły rozkładamy w przewodniku o legalnym cold mailingu.

Co najbardziej zwiększa ryzyko kary za spam mailowy? Najgorzej oceniane są: brak jakiejkolwiek podstawy przetwarzania, ignorowanie sprzeciwów i rezygnacji, masowa wysyłka do przypadkowych adresów oraz brak dokumentacji. To sytuacje, w których trudno wykazać staranność, a liczba skarg rośnie.

Czy wpisanie firmy do CEIDG oznacza zgodę na cold mailing? Nie. Dostępność danych w rejestrze publicznym nie jest równoznaczna ze zgodą na marketing ani nie zwalnia z obowiązków RODO. Publiczne źródło danych to nie to samo co podstawa do dowolnego ich wykorzystania w celach marketingowych.

Podsumowanie

Kara za cold mailing może przyjść z dwóch kierunków: od UODO za naruszenie RODO (sposób przetwarzania danych osobowych) i od Prezesa UKE za naruszenie PKE (marketing bez wymaganej zgody). RODO podaje konkretne pułapy kar (do 20 mln EUR lub do 4% rocznego światowego obrotu za najpoważniejsze naruszenia), a PKE przewiduje karę do 3% przychodu z poprzedniego roku kalendarzowego lub do 1 000 000 zł, przy czym zastosowanie ma kwota wyższa (art. 446 ust. 5 PKE).

Najlepszą ochroną nie jest pojedynczy trik, lecz higiena całego procesu: udokumentowana podstawa przetwarzania, spełniony obowiązek informacyjny, świadomość kwestii zgody, precyzyjne targetowanie, sprawna obsługa rezygnacji i porządek w dokumentacji. To właśnie te elementy organy biorą pod uwagę przy ocenie sprawy.

Jeśli chcesz prowadzić kampanie w jednym miejscu, załóż konto w OutreachPilot: znajdziesz tam listę wykluczeń, link wypisu w każdej wiadomości i historię wysyłek. Ocenę zgodności swoich kampanii z przepisami przeprowadź osobno, z prawnikiem.

Na koniec jeszcze raz, bo to ważne: to nie jest porada prawna. Każda sytuacja jest inna, a ostateczną ocenę zgodności twoich kampanii z RODO i PKE powinien wydać prawnik znający szczegóły twojej działalności.

---

Źródła:

• RODO (ogólne rozporządzenie o ochronie danych), tekst w EUR-Lex: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679
• Ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (obowiązuje od 10 listopada 2024 r.), art. 398, art. 444 ust. 1 pkt 81, art. 446 ust. 5, art. 448. ISAP: https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240001221 (dostęp 25.07.2026)
• Ustawa z 12 lipca 2024 r. Przepisy wprowadzające ustawę Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1222, art. 1 (termin wejścia w życie). ISAP: https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240001222 (dostęp 25.07.2026)
• Urząd Ochrony Danych Osobowych (UODO): https://uodo.gov.pl
• Urząd Komunikacji Elektronicznej (UKE): https://uke.gov.pl