Cold mailing w Polsce: co wolno w 2026
Cold mailing w Polsce jest legalny. To nie jest szara strefa ani obszar, w którym prawo milczy. Jest natomiast zestaw warunków, które muszą zagrać jednocześnie: podstawa prawna przetwarzania danych z RODO, zgoda odbiorcy wymagana przez Prawo komunikacji elektronicznej, poprawna identyfikacja nadawcy w treści wiadomości. Wystarczy zaniedbać jeden element i cała kampania jest niezgodna z przepisami.
Najczęstszy błąd wygląda tak: firma sprawdza jedną ustawę, znajduje przepis, który wydaje się pasować, i temat uznaje za zamknięty. A potem okazuje się, że drugi akt prawny mówi coś zupełnie innego. Filtry antyspamowe mają zresztą jeszcze własne zdanie.
Piszemy z perspektywy operatora własnej floty serwerów wysyłkowych. Skutki złych list widzimy nie tylko w pismach od prawników. Widzimy je przede wszystkim po stronie technicznej: w skargach, bounce’ach i reputacji domen. Dalej znajdziesz podstawę prawną, kwestię B2B, wymagane elementy wiadomości, warstwę uwierzytelnienia i praktykę wychodzenia z blokad.
Co reguluje cold mailing: RODO plus PKE artykuł 398
Trzeba rozdzielić dwie warstwy. RODO odpowiada za przetwarzanie danych osobowych: skąd masz adres, na jakiej podstawie go trzymasz, co odbiorca o tym wie. Prawo komunikacji elektronicznej reguluje coś innego – sam fakt wysłania przekazu marketingowego na konkretny kanał kontaktu.
Artykuł 398 PKE zastąpił dawny artykuł 10 ustawy o świadczeniu usług drogą elektroniczną oraz artykuł 172 Prawa telekomunikacyjnego. Wcześniej trzeba było czytać dwa przepisy naraz i główkować, który obejmuje który kanał. Teraz jeden przepis obejmuje e-mail, telefon i pozostałe środki komunikacji elektronicznej. W sumie prościej.
Zgoda ma cztery cechy. Musi być uprzednia, czyli udzielona zanim wyślesz pierwszą wiadomość. Dobrowolna – odbiorca nie może być do niej zmuszony warunkiem dostępu do czegoś innego. Konkretna, więc odnosząca się do określonego celu. I możliwa do wykazania, co znaczy, że musisz umieć ją odtworzyć. Domyślnie zaznaczony checkbox nie spełnia żadnego z tych warunków. Żadnego.
Uzasadniony interes administratora bywa poprawną podstawą przetwarzania z RODO. Tylko że nie zastępuje zgody z PKE. To dwa niezależne wymogi i oba muszą się zgadzać. Szczegółowo rozpisaliśmy to w tekście o tym, dlaczego zgoda marketingowa obowiązuje także w B2B. Obowiązek informacyjny wobec odbiorcy działa również wtedy, gdy adres pochodzi ze źródła publicznego – publiczna dostępność nie znosi konieczności poinformowania, kto i po co przetwarza dane.
B2B nie jest wyjątkiem, choć wiele firm tak zakłada
Przekonanie, że wysyłka do firm rządzi się luźniejszymi regułami, jest rozpowszechnione. I błędne. Zgoda obowiązuje także w B2B. Status odbiorcy jako przedsiębiorcy nie znosi wymogu z PKE.
Warto rozróżnić typy adresów. jan.kowalski@firma.pl identyfikuje konkretną osobę, więc stanowi dane osobowe w rozumieniu RODO. Adres ogólny w rodzaju kontakt@ czy biuro@ ma inny status pod kątem ochrony danych, ale nadal podlega PKE, jeśli wysyłasz na niego przekaz marketingowy. Kanał ten sam, przepis też.
Adres z KRS, CEIDG albo ze stopki na stronie WWW jest publicznie dostępny. Publicznie dostępny do kontaktu w sprawach, dla których go tam umieszczono – nie do marketingu. To rozróżnienie kosztuje firmy najwięcej nerwów, bo intuicja podpowiada dokładnie coś przeciwnego.
Pojawia się wtedy pomysł: no to wyślijmy najpierw maila z pytaniem o zgodę. Problem w tym, że taka wiadomość sama bywa kwalifikowana jako przekaz marketingowy, zwłaszcza gdy zawiera opis firmy albo oferty. Ryzykowna droga.
Co działa zamiast tego:
- formularz zapisu z jasnym opisem, na co odbiorca się zgadza i jak często dostanie wiadomość,
- lead magnet, czyli materiał o realnej wartości wymieniany na adres wraz ze zgodą,
- kontakt na LinkedIn albo telefon przed pierwszym mailem, z prośbą o zgodę udzieloną w innym kanale,
- formularz kontaktowy na stronie, gdzie inicjatywę podejmuje druga strona.
Co musi znaleźć się w wiadomości i w rejestrze zgód
Pojedyncza wiadomość ma zawierać komplet informacji o nadawcy. Pełna nazwa podmiotu, adres siedziby, NIP lub numer KRS, jasno wyrażony cel kontaktu oraz działający mechanizm rezygnacji. Brak któregokolwiek z tych elementów jest banalnie łatwy do wykazania przez odbiorcę i cholernie trudny do wytłumaczenia.
Rezygnacja to osobny temat. Ma być bezpłatna, realizowana jednym kliknięciem, bez logowania i bez pytania o powód. Ankieta wyświetlana przed wypisem odbiorcę irytuje, a irytacja kończy się kliknięciem w przycisk zgłoszenia spamu. To z kolei uderza w reputację całej domeny. Nagłówek List-Unsubscribe wraz z wersją One-Click to standard techniczny oczekiwany przez dużych operatorów pocztowych, nie ozdobnik.
Po stronie systemu trzeba przechowywać dowody. Treść zgody w brzmieniu, jakie widział odbiorca. Datę i godzinę. Adres IP albo inny opis kanału pozyskania. I wersję formularza, bo klauzule się zmieniają, a zgoda sprzed dwóch lat dotyczyła innego tekstu. Osobno warto prowadzić rejestr wypisów, żeby nie wysłać drugi raz do kogoś, kto odmówił.
Zgody rozdziel według celu. Newsletter, oferta handlowa i profilowanie to trzy różne rzeczy. Jedna zbiorcza klauzula na wszystko jest słabsza dowodowo niż trzy osobne.
Tip: rejestr zgód trzymaj w systemie wysyłkowym, nie w arkuszu na dysku księgowej. Przy kontroli liczy się możliwość wykazania konkretnej zgody dla konkretnego adresu, a nie deklaracja, że gdzieś to zbieraliście. Jeśli formularze zapisu i CRM działają osobno, zadbaj o połączenie systemu wysyłkowego z resztą narzędzi, żeby zgoda i jej data wędrowały razem z adresem.
Kwestia techniczna z tej samej półki: adres w polu From oraz adres Return-Path powinny należeć do domeny, którą realnie kontrolujesz. Wysyłka z cudzej domeny w polu nadawcy to problem prawny i dostarczalnościowy naraz.
Warstwa techniczna: bez SPF, DKIM i DMARC zgodność nic nie da
Można mieć bezbłędnie zebrane zgody i nadal nie dotrzeć do odbiorcy. Wysyłka masowa bez uwierzytelnienia ląduje w spamie niezależnie od jakości treści i legalności listy. Filtr nie czyta twojej polityki prywatności.
Trzy mechanizmy działają razem:
- SPF – rekord DNS, który wskazuje serwery uprawnione do wysyłki z twojej domeny.
- DKIM – podpis kryptograficzny wiadomości, pozwalający odbiorcy sprawdzić, że treść nie została zmieniona po drodze.
- DMARC – spina jedno z drugim i mówi filtrowi, co zrobić przy niezgodności: przepuścić, przenieść do kwarantanny albo odrzucić.
Najczęściej źle skonfigurowanym elementem jest wyrównanie, czyli alignment. Domena z pola From musi zgadzać się z domeną z Return-Path (dla SPF) oraz z domeną podpisu DKIM. I stąd bierze się ta klasyczna sytuacja: SPF przechodzi, DKIM przechodzi, a DMARC i tak wypada negatywnie. Prawie zawsze to wyrównanie.
Po stronie infrastruktury liczy się reszta podstaw: rekord PTR dla adresu IP serwera wysyłkowego, poprawny HELO zgodny z nazwą hosta, szyfrowanie TLS na połączeniu. Prowadzimy własne serwery i te trzy rzeczy sprawdzam przy każdym nowym adresie, zanim cokolwiek z niego wyjdzie.
Raporty DMARC pokazują dwie rzeczy naraz: kto podszywa się pod twoją domenę i które z twoich własnych strumieni wysyłki są niezgodne. Zwykle najpierw znajdujesz to drugie. Zapomniany system do faktur albo formularz na stronie.
Tip: zacznij od polityki p=none i zbieraj raporty przez kilka tygodni. Dopiero gdy widzisz komplet swoich strumieni, przełącz na quarantine, a potem na reject. Odwrotna kolejność potrafi zablokować własne maile transakcyjne.
Praktyka z własnej floty: warmup, bounce i wychodzenie z blokad
Nowa domena i nowy adres IP nie mają historii. A dla filtra brak historii to powód do ostrożności. Warmup polega na budowaniu tej historii stopniowo: mała wysyłka na start, powolny wzrost wolumenu, na początku wyłącznie do najbardziej zaangażowanych odbiorców. Otwarcia i odpowiedzi z pierwszych wysyłek ustawiają reputację na kolejne tygodnie.
Bounce’y obsługuj rozdzielnie. Twarde, czyli adres nie istnieje, usuwaj natychmiast po pierwszym wystąpieniu. Bez litości. Miękkie, wynikające z przepełnionej skrzynki albo chwilowej niedostępności serwera, obserwuj i wygaszaj po serii nieudanych prób.
Duzi operatorzy pocztowi reagują na dwa sygnały wyjątkowo ostro: skargi odbiorców i wysyłkę do adresów nieaktywnych. Blokada bywa nagła i obejmuje cały adres IP, nie pojedynczą kampanię. Wyjście z niej wygląda zawsze podobnie – zatrzymanie wysyłki, czyszczenie listy, formularz zgłoszeniowy do operatora, cierpliwość. Skrótów tu nie ma i nikt ich nie sprzeda.
Nie obiecujemy omijania filtrów antyspamowych. Takich obietnic nie da się dotrzymać, a próby kończą się utratą zaufania po obu stronach. Pracujemy na reputacji nadawcy, bo tylko ona działa długoterminowo. Segmentacja według zaangażowania ratuje reputację skuteczniej niż kolejna przeróbka tematu wiadomości. Sprawdzone.
Jeśli chcesz mieć uwierzytelnienie, warmup i rejestr zgód w jednym miejscu, opisaliśmy to w platformie do email marketingu z własnymi serwerami wysyłkowymi. Szczegóły znajdziesz w zestawieniu możliwości platformy, razem z tym, co jest gotowe, a co dopiero powstaje.
Ryzyko i kto je ponosi
Odpowiedzialność biegnie trzema równoległymi torami. Administracyjna, czyli postępowanie organu nadzoru. Cywilna – roszczenia konkretnego odbiorcy, który poczuł się naruszony. I wizerunkowa, najtrudniejsza do wyceny, a odczuwalna najdłużej.
Zakup gotowej bazy adresowej niczego nie przenosi na sprzedawcę. To ty zostajesz administratorem danych i to na tobie spoczywa obowiązek wykazania zgody dla każdego adresu. Sprzedawca może zapewniać, że wszystko zebrano poprawnie. Zapewnienie nie jest dowodem.
Z dostawcą narzędzia wysyłkowego wymagana jest umowa powierzenia przetwarzania. Zrozum jej zakres: dostawca odpowiada za bezpieczeństwo przetwarzania, czyli za to, żeby dane nie wyciekły i były przetwarzane zgodnie z twoimi poleceniami. Za legalność twojej listy nie odpowiada.
Przed podpisaniem umowy zadaj dwa pytania: gdzie fizycznie stoją serwery i czy dane trafiają poza Europejski Obszar Gospodarczy. Odpowiedź wymijająca też jest odpowiedzią.
Zostaje koszt czysto techniczny, o którym mało kto myśli przy zakupie bazy. Zła lista obniża reputację domeny. A reputacja domeny nie dzieli się na marketingową i pozostałą – spadek uderza też w maile transakcyjne, potwierdzenia zamówień i zwykłą korespondencję handlową. Kampania kończy się po tygodniu, konsekwencje zostają na miesiące.
Podsumowanie: zgodność jako element konfiguracji, nie jako dokument
Legalny cold mailing w Polsce sprowadza się do trzech rzeczy naraz: podstawy przetwarzania z RODO, zgody wymaganej przez artykuł 398 PKE oraz poprawnej techniki wysyłki. Wypadnięcie któregokolwiek elementu psuje pozostałe.
Kolejność wdrożenia ma znaczenie:
- audyt źródeł adresów – skąd faktycznie pochodzi każdy rekord na liście,
- rejestr zgód z treścią, datą i kanałem pozyskania,
- konfiguracja SPF, DKIM i DMARC wraz z wyrównaniem domen,
- warmup domeny i adresów IP,
- dopiero na końcu skalowanie wolumenu.
Zgodność opłaca się także technicznie. Lista zbudowana na zgodzie ma wyższe otwarcia i mniej skarg, a te dwa sygnały budują reputację nadawcy szybciej niż jakakolwiek optymalizacja treści. Prawo i dostarczalność ciągną w tę samą stronę.
Nie wszystko mamy gotowe. Część elementów, o których piszemy jako o standardzie branżowym, jest u nas na roadmapie, a nie w panelu. Mówimy to wprost, zamiast dopisywać funkcje do materiałów marketingowych.
Zanim wyślesz kolejną kampanię, sprawdź własną konfigurację DNS. Rekordy SPF, selektory DKIM, polityka DMARC i raporty za ostatni miesiąc – kwadrans pracy, który oszczędza tygodnie wychodzenia z blokady.
