RODO w cold mailingu B2B - obowiązek informacyjny, podstawa prawna, rejestry

RODO nakłada konkretne obowiązki na każdego, kto przetwarza dane osobowe — a adresy email pracowników i właścicieli firm to dane osobowe w rozumieniu rozporządzenia. Ten przewodnik pokazuje, co konkretnie musisz zrobić, żeby cold outreach B2B był zgodny z RODO: jaką podstawę prawną wybrać, co wpisać w pierwszym mailu i jak prowadzić dokumentację.

Podstawa prawna — uzasadniony interes (art. 6 ust. 1 lit. f)

Aby przetwarzać dane osobowe, potrzebujesz jednej z sześciu podstaw z art. 6 ust. 1 RODO. W cold outreachu B2B najczęściej stosowaną podstawą jest uzasadniony interes administratora (lit. f). Oznacza to, że masz uzasadniony cel kontaktu handlowego i ten interes nie jest nadrzędny wobec praw osoby, której dane dotyczą.

Motywy 47 i 48 RODO wprost wskazują, że bezpośredni marketing może stanowić uzasadniony interes — ale tylko przy spełnieniu warunków testu równowagi.

Test równowagi — 3 kroki

Test przeprowadzasz przed uruchomieniem kampanii i dokumentujesz wynik (nawet w pliku tekstowym). Trzy kroki:

1. Cel: czy masz uzasadniony interes? — Kontakt handlowy B2B z podmiotem prowadzącym działalność odpowiadającą Twojej ofercie spełnia ten warunek.
2. Niezbędność: czy przetwarzanie jest konieczne? — Jeśli nie masz innego skutecznego sposobu dotarcia do decydenta, tak.
3. Równowaga: czy Twój interes nie przeważa nad interesem odbiorcy? — Oceniasz skalę (nie masowy mailing), wrażliwość danych (standardowy adres firmowy, nie dane wrażliwe) i dostępność mechanizmu sprzeciwu (link opt-out w każdej wiadomości).

Art. 13 vs art. 14 RODO — która wersja dotyczy cold outreachu

Art. 13 stosuje się, gdy dane pozyskujesz bezpośrednio od osoby której dotyczą — na przykład przez formularz kontaktowy.

Art. 14 stosuje się, gdy dane pozyskujesz ze źródła zewnętrznego. Cold outreach zawsze podlega art. 14 — dane pochodzą z CEIDG, strony firmy, LinkedIn, czy innego zewnętrznego źródła.

Art. 14 ust. 3 zobowiązuje Cię do przekazania informacji:

• w rozsądnym terminie po pozyskaniu danych, nie później niż miesiąc,
• lub — jeśli kontaktujesz się z osobą — przy pierwszej komunikacji,
• lub — jeśli planujesz ujawnienie danych innemu odbiorcy — najpóźniej przy ujawnieniu.

W praktyce cold outreachu: obowiązek spełniasz w pierwszym mailu. Nie musisz wysyłać osobnej wiadomości z klauzulą — wystarczy stopka lub akapit informacyjny w treści.

Obowiązek informacyjny w cold mailu — co musi być

Minimalne elementy wymagane przez art. 14 ust. 1 i 2 RODO w kontekście cold outreachu:

• Tożsamość administratora: pełna nazwa firmy, NIP, adres
• Dane kontaktowe: adres email lub pocztowy do realizacji praw RODO
• Cel przetwarzania: kontakt handlowy, marketing bezpośredni B2B
• Podstawa prawna: uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO)
• Kategorie danych: adres email, ewentualnie imię i nazwa firmy
• Źródło danych: np. „publiczny rejestr CEIDG”, „strona internetowa firmy”
• Prawa odbiorcy: dostęp, sprostowanie, usunięcie, sprzeciw, skarga do Prezesa UODO
• Prawo do sprzeciwu: informacja że odbiorca może wnieść sprzeciw wobec przetwarzania, ze wskazaniem jak to zrobić (np. odpowiedź „STOP” lub link)
• Okres przechowywania: jak długo będziesz przechowywać dane

Wzór klauzuli RODO do cold maila B2B

Minimalna stopka spełniająca art. 14 RODO, gotowa do wklejenia lub modyfikacji:

Prawo sprzeciwu i obsługa opt-out

Art. 21 ust. 3 RODO daje odbiorcy bezwzględne prawo do wniesienia sprzeciwu wobec przetwarzania danych w celach marketingu bezpośredniego. Po złożeniu sprzeciwu musisz niezwłocznie zaprzestać przetwarzania — nie masz prawa kwestionować tego żądania.

Co oznacza „niezwłocznie”

UODO oczekuje reakcji w ciągu 1-3 dni roboczych. OutreachPilot zatrzymuje kampanię dla danego leadu automatycznie po kliknięciu linku opt-out lub odpowiedzi „STOP” (jeśli IMAP jest podpięty).

Blacklista — dlaczego samo usunięcie nie wystarczy

Nie możesz po prostu usunąć adresu email z bazy. Musisz przechować fakt złożenia sprzeciwu (adres w formie zahashowanej lub zaszyfrowanej), żeby nie skontaktować się z tą osobą przy kolejnej kampanii. OutreachPilot prowadzi globalną blacklistę opt-outów per konto — raz wypisany adres nie pojawi się w żadnej przyszłej kampanii tego konta.

Rejestr Czynności Przetwarzania (RCP)

Art. 30 RODO nakłada obowiązek prowadzenia RCP na każdego administratora. Jedyny wyjątek (art. 30 ust. 5) dotyczy podmiotów zatrudniających poniżej 250 osób, ale wyłącznie gdy przetwarzanie jest nieregularne i nie dotyczy danych wrażliwych. Regularne kampanie cold mailingowe nie kwalifikują się do tego wyjątku.

Co musi zawierać wpis RCP dla cold outreachu

• Nazwa czynności: „Marketing bezpośredni B2B - cold outreach”
• Cele przetwarzania: pozyskiwanie klientów, kontakt handlowy z przedsiębiorcami
• Kategorie osób: właściciele i pracownicy firm z sektora [Twoja branża docelowa]
• Kategorie danych: adres email, imię i nazwisko (opcjonalnie), nazwa firmy
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes)
• Źródła danych: CEIDG, KRS, publicznie dostępne strony internetowe firm
• Odbiorcy (jeśli przekazujesz dane): np. dostawca platformy mailingowej (w ramach umowy powierzenia)
• Planowane terminy usunięcia danych: np. 12 miesięcy od ostatniego kontaktu
• Środki bezpieczeństwa: szyfrowanie, dostęp ograniczony, hasła

Okres przechowywania danych

RODO nie podaje sztywnych terminów — wymaga, żeby dane nie były przechowywane dłużej niż potrzeba (zasada minimalizacji). W cold outreachu sensowne okresy to:

• Aktywni kontakci w kampanii: przez czas trwania kampanii + do 30 dni na obsługę odpowiedzi
• Leady, które nie odpowiedziały: max 12 miesięcy od ostatniego kontaktu
• Klienci (po konwersji): okres wynikający z umowy + obowiązki podatkowe (5 lat)
• Blacklista opt-outów: bezterminowo (potrzebna do respektowania sprzeciwu)

Zdefiniuj i udokumentuj te terminy w RCP. OutreachPilot automatycznie archiwizuje leady po ukończeniu kampanii — możesz ustawić własny czas retencji w ustawieniach konta.

Checklista RODO przed kampanią cold outreach

1. Przeprowadzony i udokumentowany test równowagi dla uzasadnionego interesu
2. Zidentyfikowane źródła danych (CEIDG, strony firm) i zapisane w RCP
3. Obowiązek informacyjny z art. 14 spełniony w treści lub stopce pierwszej wiadomości
4. Stopka zawiera: administratora, cel, podstawę, źródło danych, prawo sprzeciwu
5. Link opt-out działa i prowadzi do blacklisty (lub odpowiedź „STOP” jest monitorowana)
6. Wpis kampanii w Rejestrze Czynności Przetwarzania (art. 30 RODO)
7. Umowa powierzenia z operatorem platformy mailingowej (DPA)
8. Okres retencji danych zdefiniowany i zgodny z zasadą minimalizacji
9. Procedura obsługi żądań praw (dostęp, usunięcie, sprostowanie) — kto, jak, w 30 dni
10. Polityka prywatności na stronie www obejmuje przetwarzanie danych z external sources

Powiązany artykuł: Cold mailing B2B w Polsce 2026 — kompletny przewodnik prawny.

Najczęstsze pytania