Kupno bazy danych B2B i B2C: co naprawdę jest legalne, ile to kosztuje i dlaczego zakup bazy nie zdejmuje z Ciebie odpowiedzialności

Można kupić bazę danych. Nie można kupić sobie spokoju.

To rozróżnienie kosztowało już polskie firmy setki tysięcy złotych kar, a w jednym przypadku ponad dziewięć milionów.

Piszę ten tekst, bo pytanie „gdzie kupić bazę firm” wraca do mnie średnio raz w tygodniu. Zwykle od właściciela firmy, który właśnie zatrudnił dwóch handlowców i zorientował się, że nie ma ich do kogo wysłać. Logika wydaje się nieodparta: skoro ktoś sprzedaje gotowe listy, to kupuję plik, wgrywam do CRM, ruszam z kampanią. Problem w tym, że między „kupiłem plik” a „legalnie dzwonię” leży przepaść, o której większość sprzedawców baz nie wspomina w cenniku. Zmieniło się prawo, zmieniło się podejście organów, a odpowiedzialność za kontakt spoczywa na tym, kto dzwoni, nie na tym, kto sprzedał numer. Jednocześnie nie chcę straszyć: legalne pozyskiwanie klientów z zewnętrznych źródeł danych jest możliwe, tylko wygląda inaczej, niż to sobie wyobrażasz.

Z tego artykułu dowiesz się:

• czym różni się prawnie baza B2B od bazy B2C i dlaczego to nie jest niuans, tylko fundament
• co zmienił artykuł 398 Prawa komunikacji elektronicznej i jak wpłynął na telemarketing oraz cold mailing
• ile realnie kosztuje zakup bazy danych, od groszy za rekord po kilka złotych za kontakt do decydenta
• jakie kary już zapadły w sprawach firm, które powoływały się na zakupioną bazę
• na co patrzeć przy wyborze dostawcy, żeby nie kupić pliku z 40-procentowym udziałem martwych rekordów
• kiedy zakup bazy w ogóle się opłaca, a kiedy lepiej kupić gotowy efekt

Czy kupno bazy danych jest legalne? Odpowiedź zależy od tego, co dokładnie kupujesz

Sam obrót danymi nie jest zakazany. Zakazane jest przetwarzanie danych osobowych bez podstawy prawnej i kontakt marketingowy bez uprzedniej zgody. To dwie osobne warstwy i firmy notorycznie je mylą. Możesz mieć całkowicie legalną podstawę do posiadania numeru telefonu w swoim CRM i jednocześnie nie mieć prawa na ten numer zadzwonić z ofertą. Brzmi absurdalnie? Tak działa polski system od listopada 2024 roku.

Warstwa pierwsza to RODO. Dane firm w rozumieniu spółek prawa handlowego, czyli nazwa, NIP, adres siedziby, ogólny telefon do sekretariatu, w ogóle nie są danymi osobowymi. Dane jednoosobowych działalności są, bo za nazwą stoi konkretna osoba fizyczna. Tu robi się ciekawie, bo Prezes UODO w jednej ze swoich decyzji uznał, że przetwarzanie publicznie dostępnych danych przedsiębiorców z CEIDG w celach marketingowych może stanowić realizację prawnie uzasadnionego interesu administratora z art. 6 ust. 1 lit. f RODO. Ale ten sam organ odmówił zastosowania tej podstawy firmie, która pozyskała numer telefonu w ramach nabycia bazy danych od innego administratora, wskazując, że między skarżącym a spółką nie zachodziło żadne powiązanie, którego mógłby się spodziewać.

Widzisz różnicę? Sięgnięcie po dane z rejestru publicznego to jedno. Odkupienie cudzej bazy to coś zupełnie innego, bo osoba, której dane dotyczą, nie miała żadnych racjonalnych podstaw, by przewidzieć, że jej numer trafi akurat do Ciebie.

Warstwa druga to prawo komunikacji elektronicznej i o niej za chwilę. Zapamiętaj tylko jedno: nawet nienaganna podstawa z RODO nie zwalnia Cię z obowiązku posiadania zgody na sam kontakt.

B2B kontra B2C: dwie zupełnie różne gry na tej samej planszy

Kiedy ktoś pisze w internecie „sprzedam bazę danych”, warto od razu zapytać, czego dotyczy. Legalna baza danych B2C, rozumiana jako lista konsumentów z ważnymi zgodami marketingowymi przypisanymi konkretnie do Twojej firmy, jest towarem rzadkim i drogim. Zgoda z RODO jest konkretna i wskazuje administratora. Nie da się jej „przepisać” na kolejnego nabywcę tak, jak przepisuje się samochód.

W praktyce marketingowe bazy danych sprzedawane jako „B2C ze zgodami” najczęściej opierają się na zgodach zebranych w serwisach, których użytkownik nie kojarzy, na rzecz podmiotów wymienionych drobnym drukiem w regulaminie. Sprzedający jest w stanie pokazać Ci klauzulę. Nie jest w stanie pokazać dowodu, że konkretny Jan Kowalski świadomie zgodził się na telefon od Twojej firmy. A to właśnie tego dowodu zażąda organ.

Artykuł 398 PKE wywrócił stolik, przy którym siedział cały rynek

Ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej weszła w życie 10 listopada 2024 r., zastępując dotychczasowe prawo telekomunikacyjne. Artykuł 398 ust. 1 połączył w jedną normę dawny art. 172 prawa telekomunikacyjnego i art. 10 ustawy o świadczeniu usług drogą elektroniczną. Efekt: zakazane jest używanie automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, chyba że odbiorca uprzednio wyraził na to zgodę.

Trzy słowa robią tu całą robotę.

„Uprzednio” znaczy przed wybraniem numeru. Zgodnie z utrwalonym stanowiskiem UOKiK nie można najpierw zadzwonić, zapytać o zgodę na kontynuowanie rozmowy marketingowej, a następnie przedstawić oferty czy zaprosić na spotkanie. Skrypt zaczynający się od „czy zgadza się pan na przedstawienie oferty” nie ratuje sytuacji. Rozmowa już trwa, więc naruszenie już nastąpiło.

„Marketing bezpośredni” rozumiany jest szeroko. W ocenie Prezesa UOKiK przesłanka zindywidualizowania odbiorcy zostaje spełniona już na etapie wyboru konkretnego numeru telefonu czy adresu e-mail, więc nawet komunikat bez oferty, ale zmierzający do jej przedstawienia, może zostać uznany za przekaz marketingowy.

„Abonent lub użytkownik końcowy” to nie tylko konsument. Numer firmowy też jest numerem abonenta. Rozróżnienie B2B i B2C, tak wygodne na gruncie RODO, na gruncie PKE prawie nie działa.

Nie owijam w bawełnę: przy takiej interpretacji klasyczne zimne obdzwanianie listy kupionej w internecie jest ryzykowne niezależnie od tego, czy dzwonisz do pani Krysi, czy do prezesa spółki z o.o. Rynek usług telemarketingowych musiał się w ciągu kilkunastu miesięcy przebudować i część graczy do dziś udaje, że nic się nie stało.

Ile kosztuje zakup bazy danych? Widełki, które krążą po rynku

Poniższe stawki to ceny deklarowane publicznie przez dostawców i serwisy branżowe, nie zweryfikowany benchmark. Traktuj je jako punkt odniesienia do negocjacji, nie jako cennik.

Cena za rekord to najgorszy możliwy jedyny parametr wyboru. Baza wyceniona na grosz za rekord potrafi zawierać od 30 do 40 procent nieaktywnych firm, więc płacisz za dane, których nie możesz użyć. Polski rynek jest ruchomy, co roku rejestrują się setki tysięcy nowych podmiotów, a baza starsza niż dwanaście miesięcy może mieć od 10 do 20 procent nieaktualnych rekordów.

Policz to inaczej. Konsultant wykonuje realnie kilkadziesiąt prób połączeń dziennie. Jeśli co trzeci numer jest martwy, tracisz nie grosze za rekord, tylko jedną trzecią dnia pracy człowieka. Przy stawce rynkowej to kilkaset złotych dziennie wyrzucone w powietrze, żeby zaoszczędzić dwieście złotych na pliku. Tanie dane są najdroższym elementem kampanii.

Przez siedem lat prowadzenia kampanii wychodzących przerobiliśmy chyba wszystkie warianty złej bazy. Najgorszy nie jest ten plik, w którym połowa numerów nie odpowiada. Najgorszy jest ten, w którym wszystko działa, tylko nikt nie wie, skąd te numery pochodzą.

Rozumiem pokusę. Baza kosztuje kilkaset złotych, a zbudowanie własnej listy to tygodnie pracy. Tylko że kupując plik, kupujesz też cudzą historię: cudze zgody, cudze obowiązki informacyjne, cudze zaniedbania sprzed trzech lat. Umowa z brokerem nie działa jak tarcza. Organ zapyta Ciebie, bo to Ty wybrałeś numer.

Nie twierdzę, że każdy dostawca danych to naciągacz. Znam kilku, którzy potrafią pokazać źródło każdego rekordu i wytrzymują trudne pytania. Ale to mniejszość, a rozpoznanie jej wymaga zadania pytań, których większość kupujących nie zadaje, bo boi się usłyszeć odpowiedź.

Piotr Wolniewicz, Właściciel hotLead.pl

Decyzje UOKiK pokazują jedno: zakup bazy nie przenosi odpowiedzialności

To najtwardszy argument w całym tekście, bo nie opiera się na interpretacjach, tylko na prawomocnych rozstrzygnięciach.

Sprawa Viserion jest podręcznikowa. Spółka podnosiła, że korzystała z ogólnodostępnych baz zawierających zgody na telemarketing, ale istnienie takich zgód nie zostało wykazane, a UOKiK uznał powoływanie się na zakup danych od brokera za działanie pozorne, mające zabezpieczyć spółkę przed odpowiedzialnością. Podobnie Cmse wskazywała, że jest upoważniona do jednorazowego wykorzystania danych, jednak nie przedstawiła wiarygodnych dowodów na istnienie zgód, a w toku postępowania wnioskowała, by to UOKiK zobowiązał brokera do wyjaśnienia źródła zgód. Firma nie wiedziała, skąd ma dane, którymi się posługiwała. Trudno o mocniejszą ilustrację problemu.

Jest jeden wyjątek i wart jest zapamiętania. W sprawie Mobile Dialogue UOKiK odstąpił od kary, bo za przekazanie prawidłowej bazy numerów odpowiadał na mocy umowy partner, który tego obowiązku nie dopełnił, a spółka działała w usprawiedliwionym błędzie. Wniosek praktyczny: jeśli już kupujesz albo zlecasz kampanię na cudzych danych, umowa musi wprost wskazywać, kto jest administratorem i kto odpowiada za brak zgód.

Skala sankcji też nie zachęca do improwizacji. Naruszenie art. 6 ust. 1 RODO zagrożone jest karą do 20 mln euro lub 4 procent światowego obrotu, naruszenie art. 398 ust. 1 PKE karą do 3 procent przychodu z poprzedniego roku, a UOKiK może nałożyć karę do 10 procent obrotu, przy czym ukarana może zostać także osoba zarządzająca, nie tylko spółka.

Historia Bisnode, czyli ile kosztuje samo posiadanie danych z rejestrów

Ta sprawa dotyczy innego obowiązku, ale każdy, kto rozważa zakup bazy zbudowanej na rejestrach publicznych, powinien ją znać. 15 marca 2019 roku Prezes UODO nałożył na spółkę Bisnode karę 943 tys. zł za to, że broker danych nie poinformował blisko 6,6 miliona osób o przetwarzaniu ich danych. Obowiązek z art. 14 RODO spełniono tylko wobec osób, których adres e-mail był ujawniony w CEIDG. Bezpośrednio zawiadomiono około 90 tysięcy osób, z czego 12 tysięcy zgłosiło sprzeciw wobec przetwarzania.

Spółka broniła się kosztami. Twierdziła, że wysłanie listów kosztowałoby ją nawet 30 mln złotych, więc powołała się na wyłączenie z art. 14 ust. 5 lit. b RODO dotyczące niewspółmiernie dużego wysiłku. Sąd tego nie kupił. Wskazano, że wysoki koszt przesyłki pocztowej sam w sobie nie przesądza o zaistnieniu przesłanki niewspółmiernie dużego wysiłku. W wyroku o sygnaturze II OSK 2538/21 Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki.

Komentarz przedstawiciela organu był wtedy krótki i dobrze oddaje sedno. Sprawa pokazała, jak ważne jest prawidłowe spełnienie obowiązków informacyjnych – Piotr Drobek, Dyrektor Zespołu Analiz i Strategii w UODO.

Dla Ciebie płynie z tego prosty wniosek: kupując bazę zbudowaną na CEIDG, przejmujesz nie tylko rekordy, ale też pytanie, czy ktokolwiek poinformował te osoby, że ich dane krążą po rynku.

Jak wybrać dostawcę danych, jeśli już decydujesz się na zakup

Nie odradzam zakupu w każdej sytuacji. Bazy firmograficzne do researchu, segmentacji rynku, budowania listy targetowej przed kampanią mają sens. Problem zaczyna się przy przejściu od analizy do kontaktu. Zanim podpiszesz cokolwiek, przejdź przez tę listę:

1. Poproś o wskazanie źródła każdego typu rekordu. Jeśli słyszysz „z różnych źródeł”, kończ rozmowę.
2. Zapytaj o podstawę przetwarzania i o to, kto pozostaje administratorem po sprzedaży pliku.
3. Sprawdź, czy dostawca zrealizował obowiązek informacyjny z art. 14 RODO i w jaki sposób.
4. Zażądaj próbki i zweryfikuj losowe rekordy w CEIDG oraz KRS. Dziesięć rekordów wystarczy, by wyczuć jakość.
5. Ustal, ilu nabywcom ta sama lista została już sprzedana. Kontakty odsprzedawane w kółko są wypalone.
6. Zapisz w umowie podział odpowiedzialności za brak zgód. To ten punkt uratował Mobile Dialogue.
7. Sprawdź datę ostatniej aktualizacji i częstotliwość odświeżania danych.

I pytanie, które zadaję na końcu każdej takiej rozmowy: czy dostawca jest w stanie na piśmie potwierdzić, że rekordy mogą być użyte do kontaktu telefonicznego przez mój podmiot? Większość zmienia wtedy temat.

Co to oznacza dla polskich firm szukających klientów w 2026 roku

Rynek przesunął się z kupowania danych na kupowanie efektu. To nie jest hasło marketingowe, tylko konsekwencja arytmetyki: skoro odpowiedzialność za kontakt zostaje przy dzwoniącym, a zgoda musi być uprzednia, to własność pliku traci na wartości, a zyskuje na niej sprawdzony proces dotarcia.

W hotLead pracujemy w modelu, w którym generowanie leadów opiera się na własnym data sourcingu pod konkretną kampanię, a nie na odkupionej liście nieznanego pochodzenia. Wygląda to mniej efektownie niż plik z pięćdziesięcioma tysiącami rekordów. Za to wiemy o każdym rekordzie, skąd pochodzi. Dla klienta zlecającego outsourcing sprzedaży różnica jest namacalna: dostaje umówione spotkania i zweryfikowane leady, a nie surowy materiał do samodzielnego przerobienia i samodzielnego tłumaczenia się przed organem.

Alternatywy dla zakupu bazy, które realnie działają:

• budowa listy pod jedną kampanię z rejestrów publicznych, z zachowaniem obowiązku informacyjnego
• cold mailing na firmowe adresy ogólne, prowadzony po analizie ryzyka i z jasną ścieżką rezygnacji
• kampanie contentowe i webinary zbierające zgody od osób, które same zgłaszają zainteresowanie
• outsourcing całego procesu do call center, które bierze na siebie warstwę zgodności
• wsparcie sprzedaży oparte na leadach przychodzących, uzupełniane kontaktem wychodzącym do własnej bazy klientów

Żadna z tych ścieżek nie jest tak szybka jak przelew za plik CSV. Wszystkie są tańsze w horyzoncie dwunastu miesięcy.

FAQ: najczęstsze pytania o kupno bazy danych

Czy zakup bazy danych firm jest w Polsce legalny? Sam zakup nie jest zabroniony. Zakazane jest przetwarzanie danych osobowych bez podstawy prawnej oraz kontakt marketingowy bez uprzedniej zgody. W praktyce oznacza to, że możesz legalnie posiadać plik i jednocześnie nie mieć prawa wykonać z niego ani jednego telefonu z ofertą. Zanim kupisz, ustal, do czego konkretnie chcesz tych danych użyć.

Czy dane firm z KRS i CEIDG mogę wykorzystać do telemarketingu? Dane spółek prawa handlowego nie są danymi osobowymi, więc RODO ich nie obejmuje. Dane jednoosobowych działalności już tak. Nawet jednak przy poprawnej podstawie z RODO pozostaje art. 398 PKE, który wymaga uprzedniej zgody na kontakt w celu marketingu bezpośredniego, niezależnie od tego, czy numer należy do konsumenta, czy do przedsiębiorcy.

Istnieje coś takiego jak legalna baza danych B2C do kupienia? Teoretycznie tak, praktycznie bardzo rzadko. Zgoda marketingowa jest konkretna i wskazuje administratora, więc nie przenosi się automatycznie na kolejnego nabywcę. Dostawca musiałby udowodnić, że każda osoba świadomie zgodziła się na kontakt ze strony Twojej firmy. Decyzje UOKiK pokazują, że w postępowaniu takich dowodów zwykle brakuje.

Ile kosztuje baza firm do kampanii telemarketingowej? Deklarowane stawki zaczynają się od kilku groszy za prosty rekord teleadresowy i rosną do kilku złotych za kontakt bezpośredni do decydenta. Pakiet tysiąca firm z pełnym zestawem danych bywa wyceniany na 150 do 200 złotych. Realny koszt liczy się jednak w czasie pracy konsultantów zmarnowanym na martwe numery, a nie w cenie pliku.

Czy umowa z dostawcą chroni mnie przed karą? Częściowo i tylko wtedy, gdy jest dobrze napisana. W jednej ze spraw UOKiK odstąpił od kary, bo umowa jasno przenosiła obowiązek dostarczenia bazy ze zgodami na partnera. W kilku innych powoływanie się na zakup od brokera uznano za działanie pozorne. Umowa musi wprost wskazywać administratora danych i podmiot odpowiedzialny za zgody.

Jak sprawdzić jakość bazy przed zakupem? Poproś o bezpłatną próbkę i zweryfikuj losowe rekordy w CEIDG oraz KRS. Sprawdź datę ostatniej aktualizacji, zapytaj o częstotliwość odświeżania i o to, ilu podmiotom ta sama lista została udostępniona. Baza starsza niż rok potrafi mieć kilkanaście procent nieaktualnych wpisów.

Co zamiast kupowania bazy? Budowa własnej listy pod konkretną kampanię, kampanie contentowe zbierające zgody u źródła, cold mailing na adresy firmowe po analizie ryzyka albo powierzenie całości wyspecjalizowanemu call center. Ta ostatnia opcja przenosi ciężar zgodności na wykonawcę, który robi to codziennie i ma na to procedury.

Podsumowanie: plik z danymi to nie strategia

Największy paradoks tego rynku wygląda tak: im tańsza baza, tym więcej osób ją kupiło, tym bardziej wypalone są kontakty i tym mniej wiadomo o ich pochodzeniu. Płacisz mniej za coś, co jest warte mniej, i cieszysz się z oszczędności. Potem dzwoni pierwszy człowiek z pytaniem, skąd macie jego numer, i nagle okazuje się, że nikt w firmie nie zna odpowiedzi.

Dane są paliwem, nie samochodem. Można mieć pełny bak i nie mieć dokąd jechać.

Jeśli miałbym zostawić Cię z jedną myślą, byłaby to ta: zanim zapytasz „gdzie kupić bazę”, zapytaj „co dokładnie chcę z tymi ludźmi zrobić i czy mam do tego prawo”. Odpowiedź na drugie pytanie często sprawia, że pierwsze przestaje mieć znaczenie.

A teraz Twoja kolej. Kupowałeś kiedyś bazę danych? Zadziałała czy okazała się cyfrowym cmentarzyskiem? Napisz w komentarzu, jak wyglądały Twoje doświadczenia z zewnętrznymi dostawcami danych, bo to temat, o którym w branży mówi się głównie szeptem. Jeśli znasz kogoś, kto właśnie rozważa zakup listy „z pewnego źródła”, podeślij mu ten tekst. Możliwe, że oszczędzisz mu rozmowy z organem.

Źródła i metodologia

Artykuł powstał na podstawie analizy zespołu hotLead.pl oraz materiałów źródłowych, w tym decyzji i komunikatów Urzędu Ochrony Danych Osobowych, decyzji Prezesa UOKiK publikowanych w bazie decyzji urzędu, komunikatów Urzędu Komunikacji Elektronicznej, tekstu ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej oraz opracowań ODO 24, prawo.pl, Krajowej Izby Radców Prawnych i Niebezpiecznik.pl. Dane cenowe pochodzą z publicznych ofert i materiałów dostawców baz danych działających na rynku polskim i mają charakter deklaratywny. Wyrok Naczelnego Sądu Administracyjnego w sprawie Bisnode Polska: sygn. II OSK 2538/21. Komentarz i ocena kontekstu branżowego: Piotr Wolniewicz, Właściciel hotLead.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych decyzji dotyczących obrotu bazami danych i marketingu bezpośredniego.