To jest tekst informacyjny, a nie opinia prawna. Opisuje mechanizm przepisów i miejsca, w których najczęściej popełnia się błąd. Konkretny przypadek — Twoje źródła danych, Twoja branża, Twój sposób kontaktu — powinien ocenić prawnik. Stan prawny: sierpień 2026, prawo Unii Europejskiej i przepisy polskie.
Pytanie „czy wolno mi zebrać te numery” pada w każdej rozmowie o pozyskiwaniu leadów. Odpowiedź brzmi: to zależy od trzech rzeczy, które trzeba rozstrzygnąć osobno — czy to w ogóle są dane osobowe, na jakiej podstawie je przetwarzasz, i czy dopełniłeś obowiązku informacyjnego.
RODO nie zakazuje budowania bazy firm. Wymaga, żebyś umiał powiedzieć, po co ją masz i skąd — i żebyś powiedział to również ludziom, których dotyczy.
Krok 1: czy to w ogóle są dane osobowe
To pierwsze rozstrzygnięcie i najczęściej pomijane. Dane spółki jako podmiotu — nazwa, NIP, adres siedziby, ogólny numer na centralę — nie są danymi osobowymi, bo nie dotyczą osoby fizycznej. Sytuacja zmienia się w dwóch przypadkach.
- Jednoosobowa działalność gospodarcza. Dane przedsiębiorcy prowadzącego JDG to jednocześnie dane osoby fizycznej — imię, nazwisko, często adres i numer prywatny. Tu RODO stosuje się wprost.
- Dane osób w firmie. Imię i nazwisko pracownika, jego służbowy adres e-mail w formacie imię.nazwisko@firma.pl i jego numer bezpośredni to dane osobowe, nawet jeśli są służbowe. „Służbowe” nie znaczy „poza RODO”.
W praktyce lista firm do obdzwonienia prawie zawsze zawiera jedno i drugie. Bezpieczne założenie robocze: traktuj bazę tak, jakby zawierała dane osobowe, i dopiero potem szukaj wyjątków.
Krok 2: podstawa prawna, czyli po co Ci te dane
Do przetwarzania danych potrzebna jest podstawa z art. 6 ust. 1 RODO. W kontakcie B2B w grę wchodzą realnie dwie.
- Zgoda (lit. a) — musi być dobrowolna, konkretna i możliwa do wycofania. Przy zimnym kontakcie z definicji jej nie masz, bo nie zdążyłeś o nią poprosić.
- Prawnie uzasadniony interes administratora (lit. f) — i to jest podstawa, na której realnie stoi marketing bezpośredni. Motyw 47 RODO wymienia marketing bezpośredni jako przykład takiego interesu.
Lit. f nie jest jednak furtką bez warunków. Wymaga testu równowagi: Twój interes musi przeważać nad prawami i wolnościami osoby, której dane dotyczą. Test trzeba przeprowadzić i udokumentować przed rozpoczęciem przetwarzania, a nie po pierwszej skardze.
- Czy oferta ma związek z działalnością tej firmy? Kontakt trafiony w branżę broni się znacznie lepiej niż wysyłka do wszystkich.
- Czy osoba mogła się spodziewać takiego kontaktu? Numer opublikowany przez firmę jako kontakt handlowy to inna sytuacja niż prywatna komórka wygrzebana z fragmentu ogłoszenia.
- Czy zakres danych jest minimalny? Do zadzwonienia potrzebujesz nazwy firmy i numeru. Nie potrzebujesz daty urodzenia właściciela.
Krok 3: obowiązek informacyjny z art. 14
To jest miejsce, w którym najczęściej pojawia się luka — i jednocześnie to, o co pyta organ nadzorczy, gdy wpłynie skarga.
Gdy zbierasz dane bezpośrednio od osoby, obowiązuje art. 13. Gdy zbierasz je skądinąd — z rejestru, z mapy, ze strony internetowej — obowiązuje art. 14, który wymaga poinformowania tej osoby o przetwarzaniu. Termin: najpóźniej przy pierwszym kontakcie, a w każdym razie w ciągu miesiąca od pozyskania danych.
- Kto jest administratorem i jak się z nim skontaktować.
- W jakim celu i na jakiej podstawie przetwarzasz dane — przy lit. f trzeba wskazać, na czym polega ten uzasadniony interes.
- Skąd masz dane, czyli z jakiego źródła — i czy było ono publicznie dostępne.
- Jakie prawa przysługują osobie, w tym prawo sprzeciwu wobec marketingu bezpośredniego — bezwarunkowe i skuteczne od razu.
- Jak długo zamierzasz dane przechowywać.
W praktyce przy rozmowie telefonicznej najczęściej podaje się skrót ustnie i wysyła pełną informację e-mailem po rozmowie. Skrypt rozmowy warto mieć przygotowany razem z prawnikiem, a nie improwizowany przez każdego handlowca osobno.
Sam telefon to nie tylko RODO
Częsty błąd polega na zatrzymaniu się na RODO. Marketing telefoniczny reguluje w Polsce także prawo komunikacji elektronicznej, które wymaga zgody odbiorcy na kontakt w celu marketingu bezpośredniego z użyciem telekomunikacyjnych urządzeń końcowych. To osobna warstwa niż podstawa przetwarzania danych i trzeba ją rozstrzygnąć oddzielnie.
Innymi słowy: sam fakt, że masz podstawę do przetwarzania numeru, nie odpowiada jeszcze na pytanie, czy wolno Ci pod ten numer zadzwonić z ofertą. To dwa różne przepisy i dwie różne odpowiedzi. Tu w szczególności warto sprawdzić własny model kontaktu z prawnikiem.
Dane z rejestrów publicznych — co zmienia jawność
CEIDG i KRS są jawne, a wpisy w mapach firmy publikują same. Jawność źródła ułatwia dwie rzeczy: łatwiej wykazać, że osoba mogła spodziewać się kontaktu handlowego, i łatwiej wskazać źródło w obowiązku informacyjnym.
Czego jawność nie robi: nie zwalnia z obowiązku informacyjnego i nie zastępuje podstawy prawnej. Rejestry publiczne mają swój własny cel — nie jest nim dostarczanie leadów. To, że dane są dostępne, nie znaczy, że wolno je wykorzystać do dowolnego celu.
Lista kontrolna przed pierwszym telefonem
- Wiesz, z jakich źródeł pochodzi każdy rekord w bazie, i umiesz to wskazać.
- Masz przeprowadzony i zapisany test równowagi dla uzasadnionego interesu.
- Masz przygotowaną klauzulę informacyjną i ustalone, kiedy oraz jak trafia do odbiorcy.
- Masz działający mechanizm sprzeciwu — i realną procedurę, która usuwa numer z kolejki tego samego dnia.
- Masz ustalony okres przechowywania i sposób usuwania rekordów po jego upływie.
- Sprawdziłeś z prawnikiem swój model kontaktu telefonicznego pod kątem prawa komunikacji elektronicznej.
Sześć pozycji, z których pięć jest do odhaczenia raz, a nie przy każdej kampanii. To jest cała różnica między bazą, którą da się obronić, a bazą, której nikt nie odważy się użyć.