RODO w cold mailingu B2B: uzasadniony interes, informacja z art. 14 i sprzeciw

RODO nakłada konkretne obowiązki na każdego, kto przetwarza dane osobowe, a adresy email pracowników i właścicieli firm to dane osobowe w rozumieniu rozporządzenia. Ten przewodnik pokazuje, co konkretnie robić, żeby ograniczyć ryzyko prawne przy cold outreachu B2B: jaką podstawę prawną wybrać, co wpisać w pierwszym mailu i jak prowadzić dokumentację. Pamiętaj przy tym, że RODO reguluje tylko dane osobowe. Sam kanał komunikacji, czyli email wysyłany bez zaproszenia, reguluje osobno art. 398 Prawa komunikacji elektronicznej, o czym piszemy niżej. A jeśli dopiero układasz cały proces, zacznij od przewodnika po cold mailingu: prawo to tylko jeden z jego etapów.

Ten przewodnik dotyczy tylko warstwy danych osobowych: podstawy przetwarzania, informacji z art. 14, sprzeciwu i dokumentacji. Czy w ogóle wolno wysłać cold mail i co zmieniło Prawo komunikacji elektronicznej, opisuje przewodnik czy cold mailing jest legalny w Polsce w 2026 roku.

Czy firmowy adres e-mail to dane osobowe?

RODO reguluje przetwarzanie danych osobowych, a nie sam kanał kontaktu (ten opisuje art. 398 PKE). Dlatego pierwsze pytanie brzmi: czy adres, na który piszesz, identyfikuje osobę fizyczną.

• Adres imienny (jan.kowalski@firma.pl) identyfikuje konkretną osobę, więc jest daną osobową, także w spółce.
• Adres ogólny spółki (biuro@, kontakt@) zwykle nie wskazuje konkretnej osoby, więc jego status bywa inny. Nie zwalnia to z oceny według art. 398 PKE.
• Jednoosobowa działalność: nazwa firmy zawiera zwykle imię i nazwisko przedsiębiorcy, więc nawet adres ogólny może prowadzić do konkretnej osoby i być daną osobową.

W praktyce bezpieczniej założyć, że przetwarzasz dane osobowe, i spełnić obowiązki opisane niżej. O tym, jak ocenia się kontakt z JDG, piszemy w poradniku cold mail do jednoosobowej działalności.

Podstawa prawna: uzasadniony interes (art. 6 ust. 1 lit. f)

Aby przetwarzać dane osobowe, potrzebujesz jednej z sześciu podstaw z art. 6 ust. 1 RODO. W cold outreachu B2B najczęściej stosowaną podstawą jest uzasadniony interes administratora (lit. f). Oznacza to, że masz uzasadniony cel kontaktu handlowego i ten interes nie jest nadrzędny wobec praw osoby, której dane dotyczą.

Motyw 47 RODO kończy się zdaniem: „Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.” Ten sam motyw wymaga jednak w każdym przypadku dokładnej oceny, w tym tego, czy osoba może się rozsądnie spodziewać takiego przetwarzania. TSUE w wyroku z 4 października 2024 r. (C-621/22) potwierdził, że interes komercyjny administratora może być prawnie uzasadnionym interesem, pod warunkiem że przetwarzanie jest ściśle niezbędne i przechodzi test równowagi.

Opracowanie OutreachPilot.pl, stan prawny na 9.10.2026.

RODO to nie wszystko: art. 398 PKE

Spełnienie wymogów RODO nie rozstrzyga, czy wolno wysłać cold mail. Od 10 listopada 2024 r. obowiązuje Prawo komunikacji elektronicznej, którego art. 398 zakazuje przesyłania informacji handlowej, w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego bez jego uprzedniej zgody. Przepis zastąpił dawny art. 10 ustawy o świadczeniu usług drogą elektroniczną i art. 172 Prawa telekomunikacyjnego, wprowadzając jedną zgodę marketingową zamiast dwóch.

• RODO reguluje przetwarzanie danych osobowych odbiorcy: czy w ogóle wolno Ci mieć i wykorzystywać jego adres.
• PKE reguluje kanał komunikacji: czy wolno Ci wysłać do niego informację handlową emailem.

Czy pierwszy mail może wyjść bez zgody i czy wolno mailem o nią poprosić, opisujemy w przewodniku czy można wysłać pierwszy mail handlowy do firmy bez jej zgody.

Test równowagi w 3 krokach

TSUE w wyroku z 11 grudnia 2019 r. (C-708/18, pkt 40) opisał trzy łączne przesłanki tej podstawy, wtedy na gruncie art. 7 lit. f dyrektywy 95/46, poprzedniczki art. 6 ust. 1 lit. f RODO. Test przeprowadzasz przed uruchomieniem kampanii i dokumentujesz wynik:

1. Cel: czy realizujesz prawnie uzasadniony interes? Kontakt handlowy z firmą, której działalność odpowiada Twojej ofercie, może nim być.
2. Niezbędność: czy przetwarzanie jest konieczne? Jeśli nie masz innego skutecznego sposobu dotarcia do decydenta, tak.
3. Równowaga: czy Twój interes nie przeważa nad interesem odbiorcy? Oceniasz skalę (nie masowy mailing), wrażliwość danych (standardowy adres firmowy, nie dane wrażliwe) i dostępność mechanizmu sprzeciwu (link opt-out w każdej wiadomości).

Art. 13 vs art. 14 RODO: która wersja dotyczy cold outreachu

Art. 13 stosuje się, gdy dane pozyskujesz bezpośrednio od osoby której dotyczą, na przykład przez formularz kontaktowy.

Art. 14 stosuje się, gdy dane pozyskujesz ze źródła zewnętrznego. Przy cold outreachu stosujesz zwykle art. 14, bo dane pochodzą z CEIDG, strony firmy, LinkedIn czy innego zewnętrznego źródła.

Art. 14 ust. 3 zobowiązuje Cię do przekazania informacji:

• w rozsądnym terminie po pozyskaniu danych, nie później niż miesiąc,
• lub, jeśli kontaktujesz się z osobą, przy pierwszej komunikacji,
• lub, jeśli planujesz ujawnienie danych innemu odbiorcy, najpóźniej przy ujawnieniu.

W praktyce cold outreachu: obowiązek spełniasz w pierwszym mailu. Nie musisz wysyłać osobnej wiadomości z klauzulą. Wystarczy stopka lub akapit informacyjny w treści.

Obowiązek informacyjny w cold mailu: co musi być

Minimalne elementy wymagane przez art. 14 ust. 1 i 2 RODO w kontekście cold outreachu:

• Tożsamość administratora: pełna nazwa firmy, NIP, adres
• Dane kontaktowe: adres email lub pocztowy do realizacji praw RODO
• Cel przetwarzania: kontakt handlowy, marketing bezpośredni B2B
• Podstawa prawna: uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO)
• Kategorie danych: adres email, ewentualnie imię i nazwa firmy
• Źródło danych: np. „publiczny rejestr CEIDG”, „strona internetowa firmy”
• Prawa odbiorcy: dostęp, sprostowanie, usunięcie, sprzeciw, skarga do Prezesa UODO
• Prawo do sprzeciwu: informacja że odbiorca może wnieść sprzeciw wobec przetwarzania, ze wskazaniem jak to zrobić (np. odpowiedź „STOP” lub link)
• Okres przechowywania: jak długo będziesz przechowywać dane albo kryteria jego ustalenia
• Prawnie uzasadnione interesy: jakie interesy realizujesz, jeśli podstawą jest art. 6 ust. 1 lit. f

Przykład z 2026 r.: baza firm z rejestrów i informacja wysłana e-mailem

Prezes UODO decyzją z 16 lutego 2026 r. (DS.523.1901.2022, nieprawomocna) odmówił uwzględnienia skargi przedsiębiorcy na spółkę, która zbudowała bazę informacji o firmach z CEIDG, REGON i KRS. Spółka oparła przetwarzanie na uzasadnionym interesie (art. 6 ust. 1 lit. f RODO) i wykazała, że 28 grudnia 2020 r. przekazała skarżącemu e-mailem informacje z art. 14 RODO. To odwrotność sprawy Bisnode, w której kara dotyczyła właśnie braku takiej informacji. Decyzja dotyczy obowiązku informacyjnego, a nie zgody na informację handlową: tę ocenia się osobno, według art. 398 PKE.

Wzór klauzuli RODO do cold maila B2B

Minimalna stopka spełniająca art. 14 RODO, gotowa do wklejenia lub modyfikacji:

Prawo sprzeciwu i obsługa opt-out

Art. 21 ust. 3 RODO daje odbiorcy bezwzględne prawo do wniesienia sprzeciwu wobec przetwarzania danych w celach marketingu bezpośredniego. Po złożeniu sprzeciwu musisz niezwłocznie zaprzestać przetwarzania. Nie masz prawa kwestionować tego żądania.

O samym prawie sprzeciwu trzeba poinformować najpóźniej przy pierwszej komunikacji, wyraźnie i odrębnie od innych informacji (art. 21 ust. 4 RODO). Jedno zdanie w stopce, wyróżnione i z prostym sposobem wypisu, spełnia ten cel lepiej niż ten sam zapis ukryty w długiej klauzuli.

W jakim terminie

Art. 21 ust. 3 nie przewiduje terminu: po sprzeciwie danych do celów marketingu bezpośredniego nie wolno już przetwarzać, więc kolejny mail nie powinien wyjść. Na samo żądanie odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (art. 12 ust. 3 RODO). OutreachPilot.pl zatrzymuje wysyłkę do danego adresu po kliknięciu linku do wypisu, a po jawnej prośbie o wypis w odpowiedzi, gdy skrzynka ma podpięty odbiór poczty.

Lista wykluczeń: dlaczego samo usunięcie nie wystarczy

Jeśli po prostu usuniesz adres z bazy, możesz go nieświadomie zaimportować przy kolejnej kampanii. Dlatego w praktyce zachowuje się informację o sprzeciwie, np. adres na liście wykluczeń. W OutreachPilot.pl wypisane adresy trafiają na listę wykluczeń sprawdzaną przed każdą wysyłką, więc nie dostaną maili z kolejnych kampanii.

Rejestr Czynności Przetwarzania (RCP)

Art. 30 RODO nakłada obowiązek prowadzenia RCP na administratora. Zwolnienie z art. 30 ust. 5 dotyczy podmiotów zatrudniających mniej niż 250 osób, ale nie działa, gdy przetwarzanie może powodować ryzyko dla praw lub wolności osób, nie ma charakteru sporadycznego albo obejmuje szczególne kategorie danych. Regularne kampanie cold mailingowe nie mają charakteru sporadycznego.

Co musi zawierać wpis RCP dla cold outreachu

• Nazwa czynności: „Marketing bezpośredni B2B: cold outreach”
• Cele przetwarzania: pozyskiwanie klientów, kontakt handlowy z przedsiębiorcami
• Kategorie osób: właściciele i pracownicy firm z sektora [Twoja branża docelowa]
• Kategorie danych: adres email, imię i nazwisko (opcjonalnie), nazwa firmy
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes)
• Źródła danych: CEIDG, KRS, publicznie dostępne strony internetowe firm
• Odbiorcy (jeśli przekazujesz dane): np. dostawca platformy mailingowej (w ramach umowy powierzenia)
• Planowane terminy usunięcia danych: np. 12 miesięcy od ostatniego kontaktu
• Środki bezpieczeństwa: szyfrowanie, dostęp ograniczony, hasła

Okres przechowywania danych

RODO nie podaje sztywnych terminów. Wymaga, żeby dane nie były przechowywane dłużej niż potrzeba (zasada minimalizacji). W cold outreachu sensowne okresy to:

• Aktywni kontakci w kampanii: przez czas trwania kampanii + do 30 dni na obsługę odpowiedzi
• Leady, które nie odpowiedziały: max 12 miesięcy od ostatniego kontaktu
• Klienci (po konwersji): okres wynikający z umowy i z przepisów, np. podatkowych
• Blacklista opt-outów: bezterminowo (potrzebna do respektowania sprzeciwu)

Zdefiniuj i udokumentuj te terminy w RCP. OutreachPilot nie archiwizuje ani nie usuwa leadów automatycznie i nie ma ustawienia czasu retencji, więc terminów pilnujesz samodzielnie: leady usuniesz w aplikacji (pojedynczo lub zbiorczo) albo razem z kontem.

Checklista RODO przed kampanią cold outreach

1. Przeprowadzony i udokumentowany test równowagi dla uzasadnionego interesu
2. Zidentyfikowane źródła danych (CEIDG, strony firm) i zapisane w RCP
3. Obowiązek informacyjny z art. 14 spełniony w treści lub stopce pierwszej wiadomości
4. Stopka zawiera: administratora, cel, podstawę, źródło danych, prawo sprzeciwu
5. Link opt-out działa i prowadzi do blacklisty (lub odpowiedź „STOP” jest monitorowana)
6. Wpis kampanii w Rejestrze Czynności Przetwarzania (art. 30 RODO)
7. Umowa powierzenia z operatorem platformy mailingowej (DPA)
8. Okres retencji danych zdefiniowany i zgodny z zasadą minimalizacji
9. Procedura obsługi żądań praw (dostęp, usunięcie, sprostowanie): kto, jak, w 30 dni
10. Polityka prywatności na stronie www obejmuje przetwarzanie danych ze źródeł zewnętrznych
11. Informacja o prawie sprzeciwu jest w pierwszej wiadomości, wyraźnie i odrębnie od innych informacji (art. 21 ust. 4)
12. Oceniona podstawa kontaktu z art. 398 PKE (zgoda na otrzymanie informacji handlowej) niezależnie od podstawy z RODO

Adres jednoosobowej działalności z CEIDG to szczególny przypadek: jest daną osobową, a od 1 listopada 2026 r. rejestr będzie go udostępniać tylko za zgodą przedsiębiorcy. Opisujemy to w przewodniku czy można wysyłać maile ofertowe do JDG na adres z CEIDG. Część punktów checklisty (klauzula w stopce, opt-out, DPA) narzędzie może doklejać automatycznie do każdej wysyłki: zobacz stronę program do cold mailingu.

Najczęstsze pytania

Źródła (sprawdzone 9.10.2026)

• Rozporządzenie (UE) 2016/679 (RODO), art. 4, 6, 7, 12, 14, 21, 30 i motyw 47
• Wyrok TSUE z 11.12.2019, C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA (pkt 40)
• Wyrok TSUE z 4.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond
• UODO: NSA przyznał rację UODO w sprawie pierwszej kary (Bisnode, III OSK 2538/21), 20.09.2023
• Decyzja Prezesa UODO z 16.02.2026, DS.523.1901.2022 (nieprawomocna), odczyt 29.10.2026
• Ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), art. 398 i 400
• Odpowiedź Ministerstwa Cyfryzacji na interpelację nr 12182 (14.10.2025), ze stanowiskami UKE, UODO i UOKiK

Opracowanie: redakcja OutreachPilot.pl, stan prawny na 9 października 2026 r. Materiał informacyjny, nie porada prawna.