RODO w polskim marketingu ma dziś reputację teściowej. Wszyscy się jej boją, mało kto z nią kiedykolwiek naprawdę porozmawiał.
Prawda jest bardziej przyziemna. Zgody marketingowe to w dużej mierze lista rzeczy do zrobienia raz, porządnie, i odhaczenia na stałe. Problem w tym, że od 10 listopada 2024 roku doszła do tego druga ustawa, Prawo komunikacji elektronicznej, o której w polskich sklepach internetowych wciąż mówi się stanowczo za mało. I to właśnie ona, nie samo RODO, odpowiada dziś za większość realnych kłopotów z newsletterem.
Najważniejsze wnioski:
Jak zbierać zgodę, żeby nie musieć niczego tłumaczyć kontrolerowi z UODO?
Zacznijmy od tego, co najczęściej widzę u klientów, zanim jeszcze dotkniemy dokumentacji: formularz zapisu na newsletter z jednym polem i jednym zdaniem w stylu "zgadzam się na przetwarzanie moich danych osobowych w celach marketingowych oraz na otrzymywanie informacji handlowych drogą elektroniczną". Jedno zdanie, dwie różne ustawy, zero rozróżnienia.
Jeśli masz dokładnie taki checkbox, gratulacje, właśnie zbudowałeś najbardziej uniwersalne narzędzie do przegrania kontroli UODO. Działa przy każdej okazji.
Porada 1: Zbieraj zgodę osobno dla każdego kanału, nie dla wszystkiego naraz
Od 10 listopada 2024 roku obowiązuje Prawo komunikacji elektronicznej (PKE), które zastąpiło Prawo telekomunikacyjne oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną. Brzmi jak nazwa nowego proszku do prania, a to po prostu ustawa, która realnie decyduje, komu wolno wysłać maila.
Artykuł 398 PKE wymaga zgody na sam kanał komunikacji, niezależnie od tego, jaką podstawę prawną masz na gruncie RODO.
To dwie osobne rzeczy do spełnienia jednocześnie, nie zamiennie.
W praktyce oznacza to jeden prosty wniosek: zgoda na newsletter e-mailowy nie daje Ci prawa do wysyłania SMS-ów tej samej osobie. Potrzebujesz osobnego checkboxa na każdy kanał, nawet jeśli oba prowadzą do tego samego rekordu w CRM-ie.
Porada 2: Nie zaznaczaj checkboxa za klienta
Trybunał Sprawiedliwości UE rozstrzygnął to już w sprawie Planet49 (C-673/17): checkbox domyślnie zaznaczony nie jest ważną zgodą. Milczenie klienta, brak działania z jego strony, to nie zgoda. To po prostu brak reakcji, a prawo tego nie myli.
Nie zaznaczaj checkboxa za klienta. Nie ukrywaj go w regulaminie sklepu. Nie licz na to, że nikt tego nie zauważy, bo akurat to jest jedna z rzeczy, którą kontrolerzy sprawdzają jako pierwszą.
Porada 3: Nie warunkuj rabatu ani treści od zgody marketingowej
Pop-up z rabatem 10% za zapis na newsletter to jedno z najskuteczniejszych narzędzi generowania leadów, i nie ma w tym nic złego, dopóki zapis na newsletter jest oddzielony od samej możliwości dokonania zakupu.
Art. 7 ust. 4 RODO zabrania uzależniania wykonania usługi, tu: zakupu, od zgody, która nie jest do tego niezbędna. Rabat możesz dać każdemu, kto się zapisze, ale nie możesz zablokować zakupu komuś, kto zapisać się nie chce.
Porada 4: Rozważ double opt-in, ale wiedz, że to nie jest złota reguła
Double opt-in (mail z linkiem potwierdzającym zapis) nie jest wymagany ani przez RODO, ani przez PKE. Jest za to jednym z najprostszych dowodów na to, że dana osoba naprawdę chciała się zapisać, a nie że ktoś wpisał jej adres przez pomyłkę albo ze złośliwości.
Powiem od razu: sam czasem się z tym kłócę. Double opt-in bywa świetnym dowodem zgody, ale bywa też dodatkowym krokiem, na którym tracisz część zapisów, bo nie każdy wraca do skrzynki kliknąć potwierdzenie. Więc nie, to nie jest reguła bez wyjątków. Przy małej liście, gdzie każdy kontakt jest na wagę złota, rozważ zbieranie dowodu zgody inaczej, na przykład przez log techniczny z dokładnym znacznikiem czasu, zamiast tracić część zapisów na etapie potwierdzenia.
Rok temu robiłem audyt formularza zapisu dla klienta ze Śląska, sklepu z akcesoriami rowerowymi. Jeden checkbox, domyślnie zaznaczony, jedno zdanie na dwa różne akty prawne naraz. Zapytałem, od kiedy formularz tak wygląda. Nikt w firmie nie potrafił mi powiedzieć. Prawdopodobnie od zawsze, bo szablon skopiowano skądś lata temu i nikt więcej go nie ruszył. Poprawiliśmy checkbox, rozdzieliliśmy zgody, dodaliśmy datownik. Stara baza kontaktów sprzed tej poprawki? Wciąż siedzi w osobnej, mniej wygodnej kolumnie w CRM-ie, bo wycofanie zgody wstecz z całej historycznej listy okazało się bardziej czasochłonne, niż ktokolwiek zakładał na starcie.
Zapamiętaj: jedna zgoda na wszystko to nie jest zgoda zgodna z PKE, to jest zaproszenie do kontroli.
Jak udokumentować zgodę, żeby przetrwać kontrolę bez nerwów?
Ale serio: zgoda, którą masz, ale której nie potrafisz udowodnić, w oczach kontrolera UODO praktycznie nie istnieje. Dokumentacja to połowa tego zagadnienia, i to ta połowa, o której najłatwiej zapomnieć, bo nie widać jej na stronie sklepu.
Porada 5: Podpisz umowę powierzenia z narzędziem mailingowym
Klaviyo, GetResponse, MailerLite, każde z tych narzędzi przetwarza dane Twoich subskrybentów w Twoim imieniu. To czyni je procesorem w rozumieniu art. 28 RODO, co oznacza, że potrzebujesz podpisanej z nimi umowy powierzenia przetwarzania danych.
Kiedy pierwszy raz przeczytałem decyzję UODO w sprawie Fortum Marketing, prawie 5 milionów złotych kary, pomyślałem, że to musiał być przypadek braku podpisanej umowy. Nie zgadłem. Fortum miało umowę powierzenia z podwykonawcą, spółką Pika, podpisaną i zawierającą konkretne wymogi bezpieczeństwa, w tym pseudonimizację i szyfrowanie danych. Problem był subtelniejszy i, szczerze mówiąc, bardziej niepokojący dla każdego, kto już ma podpisany taki dokument i uważa temat za zamknięty.
Podczas modernizacji systemu IT podwykonawca stworzył dodatkową bazę z danymi 137 tysięcy klientów Fortum. Zabezpieczenia tej bazy nie zostały przetestowane przed wdrożeniem, a dwóch niezależnych internautów odkryło, że mają do niej dostęp. UODO ukarał Fortum nie za brak umowy, tylko za brak nadzoru: administrator nie zweryfikował wcześniej, czy podwykonawca faktycznie daje wystarczające gwarancje bezpieczeństwa, nie skorzystał z prawa do audytu, które przysługiwało mu na mocy art. 28 ust. 3 lit. h RODO, i nie sprawdził, czy uzgodnione środki bezpieczeństwa zostały faktycznie wdrożone. Podwykonawca dostał osobną karę, ponad 250 tysięcy złotych.
Sprawa ciągnęła się później przez sądy administracyjne blisko cztery lata. WSA w Warszawie uchylił decyzję UODO w październiku 2022 roku, uznając, że stan faktyczny nie został wystarczająco ustalony. Naczelny Sąd Administracyjny nie zgodził się z tą oceną i w marcu 2026 roku uchylił wyrok WSA, przekazując sprawę do ponownego rozpoznania. WSA, rozpatrując sprawę po raz drugi, wyrokiem z 20 maja 2026 roku ostatecznie potwierdził obie kary jako, cytując uzasadnienie, skuteczne, proporcjonalne i odstraszające.
Wniosek dla małego sklepu wysyłającego newsletter przez Klaviyo, GetResponse czy MailerLite nie brzmi więc „podpisz umowę i zapomnij”. Brzmi: podpisz umowę, i raz na jakiś czas sprawdź, czy narzędzie albo agencja, której powierzyłeś dane, faktycznie robi to, do czego się zobowiązała. Nie musi to być pełny audyt bezpieczeństwa, ale świadomość, jakie środki ochrony danych stosuje Twój dostawca, i czy w ogóle masz jak to zweryfikować, to już duża różnica.
Porada 6: Zapisuj datę i treść zgody, nie tylko sam fakt jej istnienia
W razie kontroli nie wystarczy powiedzieć "mamy zgodę". Trzeba wykazać, kiedy została udzielona, w jakich okolicznościach i jaka dokładnie klauzula obowiązywała w tym momencie. Klauzule się zmieniają, formularze się zmieniają, a UODO pyta o stan na dzień zapisu, nie na dziś.
Porada 7: Nie dopisuj automatycznie maila "do faktury" do newslettera, a przy okazji sprawdź, co zmienił KSeF
Częsty błąd, o którym pisze zresztą niejedna kancelaria zajmująca się RODO: klient podaje adres e-mail do realizacji zamówienia, a firma automatycznie dopisuje go do bazy newsletterowej. To narusza zasadę celowości, zgoda musi dotyczyć konkretnego celu, a realizacja zamówienia to inny cel niż marketing.
Od 1 kwietnia 2026 roku doszła do tego dodatkowa warstwa, o której większość poradników RODO jeszcze nie wspomina. Jeśli klient poprosi o fakturę z NIP-em, to prawnie jest to już relacja B2B, a większość sklepów ma dziś obowiązek wystawić taką fakturę w KSeF (chyba że miesięczna sprzedaż na fakturach nie przekracza 10 000 zł, wtedy jest jeszcze chwila do końca 2026 roku).
Sam e-mail do klienta coraz częściej przestaje być plikiem PDF w załączniku, a staje się linkiem albo wizualizacją faktury pobraną z centralnego systemu. Dla zasady celowości z RODO nic to nie zmienia, ten e-mail nadal służy wyłącznie do dostarczenia dokumentu, nie do zapisu na newsletter. Zmienia za to listę odbiorców danych w Twojej polityce prywatności: skoro faktura przechodzi przez system państwowy, Ministerstwo Finansów staje się kolejnym odbiorcą danych osobowych klienta, i to trzeba tam opisać, niezależnie od tego, czy kupujący był firmą, czy osobą prywatną proszącą o fakturę na NIP.
Porada 8: Ustal realny okres przechowywania danych
"Na zawsze" nie istnieje w świecie RODO. Jeśli ktoś nie otworzył żadnego maila od dwóch lat, pytanie nie brzmi "czy go usunąć", tylko "dlaczego jeszcze go nie usunąłeś".
Wróćmy na chwilę do podstaw prawnych, bo tu najczęściej robi się bałagan. Poniższa tabela pokazuje, że RODO i PKE trzeba spełnić jednocześnie, nie zamiennie:
Sytuacja | Podstawa RODO | Zgoda z art. 398 PKE | Ryzyko przy błędzie |
|---|---|---|---|
Newsletter do osób zapisanych przez formularz | Zgoda (art. 6 ust. 1 lit. a) | Wymagana | Kara UODO do 4% obrotu |
Oferta do obecnego klienta na podobny produkt | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) | Wymagana mimo to | Kara UODO i UKE jednocześnie |
Cold mail do osoby fizycznej spoza bazy | Zgoda | Wymagana | Czyn nieuczciwej konkurencji, kara UKE do 3% przychodu |
Oferta na adres ogólny firmy (biuro@, kontakt@) | Zwykle uzasadniony interes | Zwykle niewymagana, jeśli adres nie identyfikuje osoby | Ryzyko niższe, ale nie zerowe |
Co zrobić, gdy ktoś chce odejść albo złożyć skargę?
Porada 9: Wycofanie zgody ma być tak proste jak jej udzielenie
Art. 7 ust. 3 RODO mówi to wprost: wycofanie zgody musi być tak samo łatwe jak jej udzielenie. UODO potraktował to dosłownie w decyzji DKN.5103.6.2019, nakładając karę 201 559 złotych na firmę, w której wypisanie się z newslettera wymagało pięciu kroków i kontaktu z biurem obsługi klienta.
Jeden klik w linku "wypisz się" na dole maila. Tyle.
Porada 10: Miej gotowy plan na skargę, zanim ona nadejdzie
Skargę na Twój marketing można złożyć do UODO (naruszenie RODO), do UKE (naruszenie art. 398 PKE) albo do UOKiK, jeśli chodzi o zbiorowe interesy konsumentów. Te trzy urzędy patrzą na sprawę z innej strony, a od 2022 roku UODO i UKE dodatkowo współpracują na mocy memorandum w zakresie kontroli marketingu elektronicznego. Warto wiedzieć, do kogo trafi Twoja sprawa, zanim którykolwiek z nich zacznie się nią zajmować.
Marketing bezpośredni odpowiadał w 2025 roku za około 11% łącznej sumy kar nałożonych przez UODO, co dało w przybliżeniu 1,6 miliona złotych. To szacunek na podstawie zestawienia decyzji z całego roku, nie oficjalna statystyka urzędu w rozbiciu na branże, więc traktuj tę liczbę jako orientację co do skali problemu, nie jako dokładny wskaźnik ryzyka dla Twojego konkretnego sklepu.
Sprawa | Naruszenie | Kara | Podstawa prawna |
|---|---|---|---|
Fortum Marketing, decyzja z 19 stycznia 2022 r. | Udostępnienie bazy 137 tys. klientów podwykonawcy bez umowy powierzenia | 4 911 732 zł | Art. 28 RODO |
Decyzja DKN.5103.6.2019 | Wycofanie zgody wymagało 5 kroków i kontaktu z BOK | 201 559 zł | Art. 7 ust. 3 RODO |
Marketing bezpośredni ogółem, 2025 r. | Wadliwe zgody, brak reakcji na sprzeciw, brak umów z procesorami, brak zgody na kanał | Około 1,6 mln zł łącznie | Art. 7, 21, 28 RODO, art. 398 PKE |
To akurat nie boli. Jeśli zrobisz to raz i porządnie.
Zapamiętaj: wycofanie zgody musi zająć tyle samo kliknięć co jej udzielenie, ani jednego więcej.
Szybka wygrana: trzy rzeczy do sprawdzenia w 10 minut
Zanim przejdziesz do czegokolwiek innego dziś, zrób to:
- Otwórz formularz zapisu na swój newsletter i sprawdź, czy checkbox jest odznaczony domyślnie.
- Jeśli wysyłasz zarówno e-maile, jak i SMS-y, sprawdź, czy masz dwie osobne zgody, nie jedną wspólną na oba kanały naraz.
- Kliknij link wypisania się z własnego newslettera i policz kroki. Więcej niż dwa? Wiesz już, co poprawić w tym tygodniu.
Najczęstsze pytania
Nie. Ani RODO, ani Prawo komunikacji elektronicznej tego nie wymagają. Double opt-in to dobra praktyka dowodowa, nie obowiązek prawny.
Zależy od adresu. Adresy ogólne, niepozwalające zidentyfikować konkretnej osoby (biuro@, kontakt@, sekretariat@), zwykle można kontaktować w oparciu o uzasadniony interes. Adres imienny konkretnego pracownika to już inna sprawa i zwykle wymaga zgody.
Po stronie RODO: kara UODO do 20 milionów euro lub 4% rocznego obrotu. Po stronie PKE: kara UKE do 3% przychodu albo do 1 000 000 złotych, w zależności od tego, która kwota jest wyższa. Do tego dochodzi ryzyko uznania działania za czyn nieuczciwej konkurencji.
Przeczytaj też
- Unsubscribe rate, jak zmniejszyć i dlaczego wszyscy szukają problemu nie tam
- Jak pisać newsletter, który sprzedaje
- Dostarczalność emaili, co to jest i dlaczego Twoje maile lądują w spamie
Zgody marketingowe nie są karą samą w sobie. To lista rzeczy, które robisz raz, porządnie, i o których potem możesz zapomnieć, dopóki coś się nie zmieni w prawie albo w Twoim formularzu. Problem zaczyna się wtedy, gdy nikt, no dobrze, prawie nikt, w firmie nie pamięta, gdzie leży dowód zgody sprzed trzech lat.
Jeśli nie masz pewności, czy Twój formularz zapisu, umowa z narzędziem mailingowym i proces wypisywania się faktycznie spełniają te dziesięć punktów, napisz do nas. Zrobimy audyt, zanim zrobi go ktoś inny.