Baza firm z CEIDG - jak legalnie pozyskać dane do B2B (2026)

Bazę firm z CEIDG możesz pozyskać legalnie i bezpłatnie trzema kanałami: przez wyszukiwarkę na biznes.gov.pl, przez Hurtownię Danych CEIDG (dane.biznes.gov.pl) oraz przez API. Dane wpisów są jawne z mocy ustawy, ale ich wykorzystanie do marketingu B2B podlega RODO i Prawu komunikacji elektronicznej. Ten przewodnik pokazuje, jak zrobić to dobrze: skąd brać dane, na jakich warunkach je ponownie wykorzystywać i jak nie powtórzyć błędu, za który UODO ukarał firmę Bisnode.

Czym jest CEIDG i co zawiera wpis

CEIDG (Centralna Ewidencja i Informacja o Działalności Gospodarczej) to państwowy rejestr jednoosobowych działalności gospodarczych i wspólników spółek cywilnych. Prowadzi go minister właściwy do spraw gospodarki, a wpis, zmiana i wykreślenie odbywają się online przez biznes.gov.pl. To największe w Polsce źródło danych o mikro i małych firmach: w rejestrze figurują miliony aktywnych przedsiębiorców.

Typowy wpis w CEIDG zawiera między innymi:

• imię i nazwisko przedsiębiorcy oraz nazwę firmy,
• NIP i REGON,
• adres do doręczeń i stałe miejsce wykonywania działalności,
• kody PKD (przeważający i pozostałe),
• datę rozpoczęcia działalności oraz daty zawieszenia, wznowienia, zakończenia,
• status wpisu (aktywny, zawieszony, wykreślony),
• opcjonalnie: adres email, telefon i stronę www, jeśli przedsiębiorca je podał.

Zgodnie z art. 45 ustawy o CEIDG dane i informacje udostępniane przez CEIDG są jawne, a każdy ma prawo dostępu do nich. Nie potrzebujesz wykazywać interesu prawnego, składać wniosków ani nikogo pytać o zgodę na samo przeglądanie rejestru.

Które dane są jawne, a które nie

Jawność nie obejmuje wszystkiego. Ustawa o CEIDG wyraźnie wyłącza z udostępniania część danych:

• PESEL i data urodzenia przedsiębiorcy nie podlegają udostępnieniu. Figurują w rejestrze, ale nie zobaczysz ich w wyszukiwarce ani w danych do ponownego wykorzystywania.
• Dane kontaktowe objęte sprzeciwem: na podstawie art. 43 ustawy o CEIDG przedsiębiorca może zastrzec, że jego adres email i numer telefonu nie będą udostępniane publicznie. Takie dane nie są jawne i nie wolno ich pozyskiwać obejściami.

Legalne kanały pozyskania danych z CEIDG

1. Wyszukiwarka CEIDG na biznes.gov.pl

Podstawowy kanał: bezpłatna wyszukiwarka dostępna bez logowania. Pozwala szukać po nazwie, NIP, REGON, kodzie PKD czy lokalizacji i podejrzeć pełny jawny wpis. Świetna do weryfikacji pojedynczych firm, ale ręczne klikanie nie skaluje się do budowy listy kilkuset leadów.

2. Hurtownia Danych CEIDG (dane.biznes.gov.pl)

Oficjalny kanał do pobierania danych masowo. Hurtownia Danych CEIDG jest bezpłatna, wymaga jedynie rejestracji konta. Udostępnia paczki danych o wpisach, które możesz filtrować i przetwarzać po swojej stronie. To legalna alternatywa dla kupowania baz od pośredników: te same dane, u źródła, za darmo i z jasnym statusem prawnym.

3. API CEIDG

Dla integracji programistycznych dostępne jest API, które pozwala odpytywać rejestr na żywo: po PKD, dacie rozpoczęcia działalności, lokalizacji czy statusie wpisu. To kanał, z którego korzystają narzędzia takie jak OutreachPilot, bo gwarantuje aktualność danych w momencie wyszukiwania, a nie sprzed miesięcy.

Ponowne wykorzystywanie danych - ustawa o otwartych danych

Samo pobranie danych z rejestru to jedno, a ich dalsze wykorzystanie (np. w prospectingu albo we własnym produkcie) to prawnie odrębna kwestia. Reguluje ją ustawa z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego. Ponowne wykorzystywanie danych CEIDG jest dozwolone, ale pod warunkami:

1. podanie źródła: informacja, że dane pochodzą z CEIDG,
2. podanie daty pozyskania danych z rejestru,
3. informacja o przetworzeniu: jeśli dane zmodyfikowałeś, wzbogaciłeś lub połączyłeś z innymi źródłami, musisz to zaznaczyć.

W praktyce wystarczy adnotacja w bazie i w komunikacji w stylu: „dane pozyskane z CEIDG w dniu [data], przetworzone przez [firma]”. Te same warunki obowiązują komercyjnych odsprzedawców baz, dlatego brak informacji o źródle i dacie pozyskania w kupowanym wyciągu to czerwona flaga.

RODO - dane JDG to dane osobowe

Najczęstszy błąd: założenie, że skoro dane są w publicznym rejestrze, to RODO ich nie dotyczy. To nieprawda. Dane jednoosobowej działalności gospodarczej to dane konkretnej osoby fizycznej: imię, nazwisko, adres, często prywatny numer telefonu. RODO nie zawiera żadnego wyłączenia dla danych pochodzących z jawnych rejestrów. Jawność ułatwia pozyskanie, ale nie zwalnia z obowiązków.

Co to oznacza przy budowie bazy pod outreach B2B:

• Podstawa prawna: kontakt handlowy B2B opierasz najczęściej na uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO), poprzedzonym testem równowagi. Jak go przeprowadzić, opisujemy w przewodniku RODO w cold mailingu B2B.
• Obowiązek informacyjny z art. 14 RODO: dane pozyskałeś ze źródła zewnętrznego (CEIDG), więc musisz przekazać odbiorcy komplet informacji najpóźniej przy pierwszym kontakcie, czyli w pierwszym mailu lub jego stopce.

Sprawa Bisnode - lekcja, której nie wolno zignorować

W 2019 r. Prezes UODO nałożył karę na spółkę Bisnode, która zbudowała bazę z danych m.in. z CEIDG i uznała, że obowiązek informacyjny spełni notą opublikowaną na własnej stronie internetowej, zamiast kontaktować się z każdą osobą. UODO uznał to za niewystarczające, a Naczelny Sąd Administracyjny w 2023 r. (III OSK 2538/21) podtrzymał stanowisko organu: przy masowym przetwarzaniu danych z rejestrów publicznych informacja z art. 14 RODO musi dotrzeć bezpośrednio do osoby, której dane dotyczą. Sam fakt, że poinformowanie setek tysięcy osób jest kosztowne, nie zwalnia z obowiązku.

Osobnym tematem jest status samego adresu: czy piszesz na adres firmowy, czy prywatny. Szczegółowo rozkładamy to w artykule Czy cold mail do jednoosobowej działalności jest legalny?

PKE art. 398 - sama baza to nie wszystko

Legalne pozyskanie danych z CEIDG nie przesądza jeszcze o legalności wysyłki. Od 10 listopada 2024 r. obowiązuje Prawo komunikacji elektronicznej, którego art. 398 reguluje przesyłanie informacji handlowych drogą elektroniczną. Kanał kontaktu (email, telefon, SMS) wymaga więc odrębnej analizy i ostrożności: co innego wolno w samym pozyskaniu danych, a co innego w marketingu elektronicznym. Pełne omówienie wymogów PKE, relacji z RODO i bezpiecznych modeli pierwszego kontaktu znajdziesz w przewodniku Cold mailing B2B w Polsce 2026.

Praktyka: jak filtrować bazę i czego unikać

Filtry, które naprawdę robią różnicę

• PKD: zawężaj po przeważającym kodzie PKD, żeby trafiać w branżę, do której Twoja oferta faktycznie pasuje. To także argument w teście równowagi RODO.
• Lokalizacja: miasto lub województwo, jeśli działasz regionalnie albo personalizujesz wiadomości lokalnym kontekstem.
• Data rozpoczęcia działalności: nowo zarejestrowane firmy to naturalny trigger sprzedażowy. Świeży przedsiębiorca szuka księgowego, strony www, ubezpieczenia, sprzętu. Kontakt w pierwszych tygodniach działalności trafia w realną potrzebę.
• Status wpisu: filtruj wyłącznie aktywne działalności. Mailing do firm zawieszonych i wykreślonych to zmarnowany limit wysyłki i sygnał, że nie dbasz o bazę.

Czego nie robić

• Nie kupuj wyciągów niewiadomego pochodzenia. Jeśli sprzedawca nie potrafi wskazać źródła, daty pozyskania i sposobu przetworzenia danych (wymogi ustawy o otwartych danych), nie wiesz, czy w bazie nie ma danych objętych sprzeciwem albo wpisów dawno wykreślonych. Odpowiedzialność za przetwarzanie poniesiesz Ty, nie sprzedawca.
• Nie wysyłaj na adresy prywatne. Jeśli jedyny dostępny adres to wyraźnie osobista skrzynka, traktuj to jako sygnał stop. Pisz na adresy firmowe, powiązane z prowadzoną działalnością.
• Nie pomijaj obowiązku informacyjnego. Stopka z danymi administratora, źródłem danych i prawem sprzeciwu w pierwszym mailu to minimum. Gotowy wzór znajdziesz w artykule Stopka cold maila B2B.

Jak robi to OutreachPilot

OutreachPilot nie sprzedaje gotowych baz i nie przechowuje wyciągów z rejestru. Zamiast tego odpytuje CEIDG na żywo w momencie wyszukiwania: filtrujesz po PKD, mieście, dacie rejestracji i statusie, a wyniki odpowiadają aktualnemu stanowi rejestru. Rekordy są następnie wzbogacane danymi z Google Maps (strona www, telefon, opinie), co pomaga zweryfikować, że firma realnie działa, i znaleźć firmowy kanał kontaktu.

Przy wysyłce platforma automatycznie dokleja stopkę z obowiązkiem informacyjnym z art. 14 RODO (administrator, źródło danych, prawo sprzeciwu, link opt-out) i prowadzi globalną blacklistę wypisanych adresów. Uczciwie trzeba dodać: żadne narzędzie nie zdejmie z Ciebie roli administratora danych. Test równowagi, rejestr czynności przetwarzania i decyzja, do kogo piszesz, pozostają po Twojej stronie. OutreachPilot pilnuje warstwy technicznej, żebyś tych obowiązków nie zawalił przez przeoczenie.

Najczęstsze pytania