PKE Article 398: Marketing Consent Is Required in B2B Too

Zgoda marketingowa w B2B nie jest kwestią interpretacji. Wynika wprost z artykułu 398 Prawa komunikacji elektronicznej, które zastąpiło dwa wcześniejsze przepisy: artykuł 172 Prawa telekomunikacyjnego i artykuł 10 ustawy o świadczeniu usług drogą elektroniczną. Były dwie nakładające się normy, jest jedna. Prościej – owszem. Łagodniej – nie.

Co zmienił artykuł 398 Prawa komunikacji elektronicznej

Przepis obejmuje przesyłanie informacji handlowej do abonenta lub użytkownika końcowego przy użyciu automatycznych systemów wywołujących, telekomunikacyjnych urządzeń końcowych i poczty elektronicznej. Zakres jest szeroki celowo. I nie ma znaczenia, czy wysyłasz newsletter z platformy, czy skrypt sam wypycha wiadomości z twojego serwera.

Cała różnica siedzi w jednym słowie. Przepis chroni użytkownika końcowego, a nie konsumenta. To dwa różne pojęcia i tylko drugie z nich odnosi się do statusu osoby fizycznej niedziałającej w celach zawodowych. Skoro ustawodawca wybrał pierwsze, firmowy charakter adresata niczego nie wyłącza. Prezes zarządu czytający pocztę na służbowej skrzynce jest użytkownikiem końcowym dokładnie tak samo jak osoba prywatna.

Piszemy o tym z pozycji zespołu, który utrzymuje własną flotę serwerów wysyłkowych. Skutki złych baz widzimy nie w opracowaniach, tylko w logach: wzrost odbić, skoki skarg, korespondencja z zespołami antyspamowymi. Prawo i dostarczalność schodzą się tu w jednym punkcie. Baza bez zgody psuje wyniki jeszcze zanim ktokolwiek złoży skargę do urzędu.

Dlaczego skrzynka firmowa nie jest wyjątkiem

Krąży wygodny mit: adres w domenie firmowej to nie dane osobowe, więc cold mail wolno wysyłać bez pytania. Pierwsza część bywa czasem prawdziwa. Druga nie wynika z niej w żaden sposób. Szerzej rozbieramy to w tekście o tym, co przy cold mailingu w Polsce wolno w 2026.

Adres imienny typu imie.nazwisko@firma.pl identyfikuje konkretną osobę fizyczną. Obok PKE stosuje się wtedy również RODO, ze wszystkimi obowiązkami informacyjnymi. Ale nawet adres generyczny – kontakt@, biuro@, sekretariat@ – kończy bieg w skrzynce konkretnego człowieka. Ten człowiek jest użytkownikiem końcowym w rozumieniu przepisu. Artykuł 398 nie mówi o danych osobowych, tylko o odbiorcy komunikatu.

Druga pomyłka jest subtelniejsza. Zgoda marketingowa i podstawa przetwarzania danych to dwie osobne rzeczy z dwóch osobnych ustaw. Uzasadniony interes administratora może wystarczyć, żeby legalnie trzymać rekord w bazie. Nie zastępuje zgody na wysyłkę. Można mieć podstawę do przetwarzania i jednocześnie nie mieć prawa do wysłania ani jednej wiadomości.

No i stąd praktyczny wniosek. Baza kupiona od pośrednika albo zescrapowana z KRS i wizytówek nie daje ci żadnej z tych dwóch rzeczy. Ani zgody, ani sensownej podstawy. Sama liczba rekordów niczego nie legalizuje.

Jak wygląda zgoda, która się broni

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Wyrażona przed pierwszą wysyłką, nie po niej i nie przy okazji. I uwaga na klasyk: prośba o zgodę wysłana mailem do osoby, która jej nie udzieliła, sama jest już wysyłką objętą przepisem.

Poprawna klauzula odpowiada na cztery pytania:

• Kto jest administratorem danych, z pełną nazwą podmiotu.
• Jakim kanałem będziesz się kontaktować: poczta elektroniczna, telefon, SMS.
• Czego zgoda dotyczy: rodzaj treści, tematyka, czyja oferta.
• Jak ją wycofać, w sposób równie łatwy jak jej udzielenie.

Zgoda dorozumiana nie istnieje. Żadnych checkboxów zaznaczonych z góry, żadnego wnioskowania ze zwykłego pobrania pliku. A zgoda wymuszona jako warunek dostępu do materiału przestaje być dobrowolna, więc przestaje być zgodą. Materiał dajesz za adres i potwierdzenie, marketing to osobne oświadczenie obok.

Kanały rozdzielaj. Mail, telefon i SMS to trzy odrębne zgody, nie jedna zbiorcza formuła. Klauzula obejmująca wszystko naraz jest słabsza dowodowo, bo potem trudno wykazać, na co dokładnie ktoś się zgodził.

Tip: potwierdzenie double opt-in nie służy tylko czystości listy. To najprostszy dowód, że po drugiej stronie siedział człowiek, który kliknął link w swojej skrzynce. Jedno kliknięcie zamyka spór o to, kto wpisał adres. Rozliczamy to dokładniej tam, gdzie piszemy o tym, kiedy double opt-in jest naprawdę konieczny, a kiedy tylko kosztuje część zapisów.

Dowód zgody: co realnie musisz mieć w systemie

Ciężar dowodu leży po stronie nadawcy. Oświadczenie „mamy zgody” nie jest dowodem, tylko deklaracją. Musisz pokazać rekord.

Minimalny zapis pojedynczej zgody:

1. Znacznik czasu z datą i godziną wyrażenia zgody.
2. Adres IP albo identyfikator sesji, z której przyszło zgłoszenie.
3. Treść klauzuli w brzmieniu z tamtego momentu, nie w brzmieniu dzisiejszym.
4. Źródło rekordu: konkretny formularz, strona, wydarzenie.
5. Potwierdzenie double opt-in wraz ze znacznikiem czasu kliknięcia.
6. Historia wypisu, jeśli adres kiedykolwiek zrezygnował.

Punkt trzeci bywa pomijany i to on najczęściej wysadza całą konstrukcję. Zmiana treści formularza nie może nadpisywać starych zgód. Klauzule trzeba wersjonować i wiązać rekord z wersją obowiązującą w chwili zapisu. Inaczej po roku edycji formularza nie odtworzysz, na co ktoś się zgodził.

Rejestr wypisów jest tak samo ważny jak rejestr zgód. Dowodzi, że wycofanie zostało obsłużone, i to obsłużone szybko. Bo skarga zwykle nie dotyczy pierwszej wiadomości, tylko tej wysłanej po rezygnacji.

Uczciwie o ograniczeniach: część tych elementów bywa jeszcze na roadmapach platform mailingowych, także naszej. Zanim zmigrujesz bazę, wejdź w panel i wyeksportuj testowy rekord zgody. Zobacz, co faktycznie zapisuje, a nie co obiecuje strona z cennikiem. Warto przy tym porównać, jakie funkcje obsługi zgód i wypisów masz naprawdę dostępne w swoim planie.

Sankcje i realne ryzyko operacyjne

Odpowiedzialność biegnie dwiema ścieżkami. Pierwsza to kara administracyjna Prezesa UKE na podstawie PKE, za samą wysyłkę bez zgody. Druga to odrębne postępowanie z RODO, dotyczące przetwarzania danych. Postępowania są niezależne, więc jedno nie konsumuje drugiego.

Nie podamy tu kwot ani widełek, bo ich wysokość zależy od okoliczności konkretnej sprawy. Ważniejszy jest mechanizm: karę wywołuje zwykle skarga odbiorcy, a odbiorca skarży się wtedy, gdy nie może się wypisać albo dostaje wiadomość mimo rezygnacji.

Ryzyko biznesowe uderza szybciej niż prawne. Postępowanie trwa miesiącami, filtr antyspamowy reaguje w godzinach. Skargi spamowe podbijają wskaźnik reklamacji, po czym domena i adres IP lądują na listach blokujących. Reputacja spada dla całej wysyłki, także tej do zgodnej części bazy.

Zimna baza ma jeszcze jedną pułapkę. Adresy zescrapowane rok temu w dużej części już nie istnieją, więc bounce strzela w górę. Wśród nich trafiają się pułapki spamowe: stare adresy przywrócone wyłącznie po to, żeby łapać nadawców, którzy nie proszą o zgodę. Jedno trafienie potrafi zablokować cię u dużego filtra na tygodnie.

Z naszej praktyki na flocie serwerów wysyłkowych wychodzi prosta asymetria. Reputację psuje się w jedną kampanię, a odbudowuje przez wiele tygodni. Warmup od zera, wolumenami znacznie niższymi niż wcześniejsze. Nie ma co się oszukiwać.

Zgodna alternatywa dla cold maila w B2B

Pojedynczy mail napisany ręcznie, do konkretnej osoby, w sprawie konkretnej transakcji, to nie jest kampania marketingowa. Różnica leży w skali i automatyzacji. Szablon rozesłany do dwustu adresów z listy nie przestaje być informacją handlową dlatego, że zaczyna się od imienia.

Zgodę zdobywa się kanałami, w których druga strona sama decyduje o kontakcie:

• LinkedIn i rozmowa prowadzona na warunkach odbiorcy.
• Telefon do centrali z pytaniem o właściwą osobę.
• Formularz kontaktowy po stronie odbiorcy, czyli zaproszenie wprost.
• Wydarzenia branżowe, gdzie zgodę zbierasz osobiście i świadomie.
• Lead magnet z osobną, wyraźnie oznaczoną zgodą marketingową.

Przy lead magnecie cała rzecz rozbija się o słowo „osobną”. Zgoda wciśnięta w akceptację regulaminu nie jest ani konkretna, ani dobrowolna. Osobny checkbox, odznaczony domyślnie, z własną treścią. Tyle.

Lista własna rośnie wolniej niż kupiona. Za to każdy rekord ma zapisaną historię, wyższe otwarcia i realne kliknięcia. Silniki pocztowe czytają te sygnały i nagradzają je dostarczaniem do skrzynki odbiorczej zamiast do folderu spam.

Tip: zanim wyślesz cokolwiek z nowego adresu, ustaw SPF, DKIM, DMARC, poprawny Return-Path zgodny z domeną uwierzytelnienia oraz PTR dla adresu IP. Najczystsza baza na źle skonfigurowanej domenie i tak nie doleci.

Jak podchodzimy do tego w MailCraft

Zgodność z prawem traktujemy jak cechę produktu, nie jak akapit w regulaminie. Jeśli platforma ułatwia zbudowanie bazy bez zgód, przenosi ryzyko na klienta i sama je rozcieńcza.

Serwery wysyłkowe trzymamy w Unii Europejskiej i zarządzamy nimi sami. Wiemy, gdzie fizycznie leżą dane i kto ma do nich dostęp, bo to nasi ludzie i nasze klucze. Przy pytaniu o powierzenie przetwarzania odpowiadamy nazwą lokalizacji, nie odesłaniem do regionu chmury.

Formularze z double opt-in, rejestr zgód i obsługa wypisu są standardową częścią procesu, nie opcją w wyższym pakiecie. Wypis działa z każdej wiadomości i wchodzi w życie natychmiast. Więcej o tym, jak to spinamy, znajdziesz na stronie platformy do email marketingu zgodnej z RODO i PKE.

Zgody zbierane w formularzach na twojej stronie, w CRM czy w sklepie muszą trafiać do jednego rejestru, inaczej dowód rozjeżdża się na kilka systemów. Dlatego połączenia z zewnętrznymi narzędziami przenoszą razem z adresem także źródło i znacznik czasu zapisu.

Nie obiecujemy omijania filtrów spamowych. To nie jest usługa, tylko cudzy problem sprzedawany jako funkcja. Pracujemy nad reputacją nadawcy, uwierzytelnieniem i higieną listy, bo tylko te trzy rzeczy realnie zmieniają dostarczalność.

Mówimy też, czego jeszcze nie ma. Pełne wersjonowanie klauzul zgody i eksport dowodowy pojedynczego rekordu są na roadmapie, nie w panelu. Wolimy to powiedzieć wprost, niż pozwolić ci odkryć brak w trakcie kontroli.

Podsumowanie: checklista przed pierwszą wysyłką B2B

Artykuł 398 PKE nie rozróżnia adresata prywatnego i firmowego. Zgoda jest potrzebna zawsze, a domena w adresie niczego nie zmienia.

Zanim naciśniesz wyślij, sprawdź:

• Zgoda zebrana przed pierwszą wysyłką, nie w jej trakcie.
• Dowód zgody zapisany w systemie, z czasem, źródłem i treścią klauzuli.
• Osobne oświadczenia dla maila, telefonu i SMS.
• Wypis działający z każdej wiadomości, z rejestrem rezygnacji.
• Poprawne SPF, DKIM, DMARC, Return-Path i PTR.

Przy okazji zrób audyt tego, co już masz. Rekordy bez udokumentowanej zgody odkładasz na bok. I nie wysyłasz do nich „na próbę”, bo test też jest wysyłką i tak samo obciąża reputację domeny.

Mniejsza, zgodna lista daje wyższe zaangażowanie i stabilniejszą dostarczalność niż duża baza z zakupu. Zgoda przed wysyłką to najtańszy element całej infrastruktury.