RODO a pozyskiwanie leadów w 2026: Aktualne wytyczne prawne

W 2025 roku do Prezesa UODO wpłynęło 12 827 skarg, a 58,8% użytkowników internetu w UE odmówiło wykorzystania danych do reklam. Zgoda na newsletter nie obejmuje telefonu ani remarketingu, więc każdy cel i kanał potrzebuje osobnej podstawy i dowodu zgody. Przetestuj to w tym tygodniu: rozdziel zgody i sprawdź, czy rezygnacje spadną o co najmniej 20%, a zapisy nie spadną o więcej niż 10%.

Co w leadzie podlega RODO

Lead to potencjalny klient, którego dane pozwalają na dalszy kontakt handlowy lub marketingowy. Może to być osoba zapisana na newsletter, ktoś, kto pobrał poradnik, wysłał formularz kontaktowy albo zostawił numer telefonu. Zanim zaczniesz pozyskiwać leady sprzedażowe na większą skalę, ustal, które z tych informacji są danymi osobowymi.

Rodzaj danych leada	Przykład	Możliwy cel	Wymagana dokumentacja
Dane kontaktowe	imię, e-mail, telefon	odpowiedź na zapytanie, newsletter	podstawa prawna, klauzula informacyjna
Identyfikatory	ID użytkownika, adres IP w określonych sytuacjach	pomiar kampanii	zgoda na cookies, gdy jest wymagana
Dane o zachowaniu	kliknięcia, odwiedzone strony powiązane z osobą	ocena leada, profilowanie	opis celu, informacja o profilowaniu

RODO obejmuje każdą operację na tych danych: zapis w systemie do zarządzania relacjami z klientami (CRM), przekazanie agencji, ocenę jakości, wysyłkę wiadomości i przechowywanie po zakończeniu kampanii. Administratorem danych jest zwykle sklep, bo to on decyduje o celach przetwarzania. Dostawca CRM działający według instrukcji sklepu pełni rolę podmiotu przetwarzającego.

Legalne zebranie adresu e-mail nie oznacza automatycznie prawa do wysyłania na niego reklam. Każdy lead wymaga trzech osobnych odpowiedzi:

1. Czy wolno zebrać dane?
2. Czy wolno wykorzystać je w danym celu?
3. Czy wolno skontaktować się z osobą konkretnym kanałem?

W 2025 roku do Prezesa UODO wpłynęło 12 827 skarg (Urząd Ochrony Danych Osobowych, 2026). Liczba dotyczy wszystkich obszarów przetwarzania danych, ale marketing to jedno z miejsc, w których klient najszybciej zauważa naruszenie.

Podstawa prawna dla każdego celu

Art. 6 RODO wymaga wskazania podstawy prawnej osobno dla każdego celu przetwarzania. W pozyskiwaniu leadów w grę wchodzą trzy podstawy.

Podstawa prawna	Typowy cel	Ograniczenia
Zgoda	newsletter, kontakt telefoniczny, przekazanie danych partnerom	musi być dobrowolna, konkretna, świadoma i jednoznaczna
Prawnie uzasadniony interes	marketing własnych produktów	wymaga testu równowagi; osoba może w każdej chwili wnieść sprzeciw
Działania przed zawarciem umowy	przygotowanie oferty, odpowiedź na pytanie	zakres kontaktu odpowiada zapytaniu; newsletter wymaga odrębnej analizy

Prawnie uzasadniony interes nie zwalnia z obowiązku informacyjnego. Po sprzeciwie wobec marketingu bezpośredniego dane trzeba przestać wykorzystywać w tym celu (UODO, 2022; Komisja Europejska, 2026). Zbiorcza zgoda na „wszelki marketing własny i partnerów” bywa zbyt ogólna, gdy użytkownik nie wie, kim są partnerzy i jakimi kanałami się odezwą.

Zbiorcza zgoda na „wszelki marketing własny i partnerów” bywa zbyt ogólna, gdy użytkownik nie wie, kim są partnerzy i jakimi kanałami się odezwą.

Art. 6 RODO wymaga wskazania podstawy prawnej osobno dla każdego celu przetwarzania. W pozyskiwaniu leadów w grę wchodzą trzy podstawy.

Formularz zapisu i dowód zgody

Zgoda wymaga wyraźnego działania, na przykład zaznaczenia pustego pola wyboru. Nie wynika z samego korzystania ze strony, braku reakcji ani pola zaznaczonego domyślnie (UODO, 2026; EDPB, 2020).

Zgoda marketingowa nie może być warunkiem pobrania materiału, jeśli marketing nie jest potrzebny do jego dostarczenia. Ta zasada obowiązuje przy poradnikach i rabatach, a także przy zapisach na webinar.

Przykładowa konstrukcja formularza:

• pole obowiązkowe: e-mail do wysłania zamówionego materiału,
• pole opcjonalne: zgoda na newsletter sklepu,
• pole opcjonalne: zgoda na kontakt telefoniczny,
• pole opcjonalne: zgoda na przekazanie danych wskazanym partnerom,
• link do polityki prywatności i informacja o wycofaniu zgody.

Treść zgody wskazuje kanał. Zdanie „Zgadzam się na marketing” mówi mniej niż „Zgadzam się na otrzymywanie e-mailem informacji o produktach, promocjach i wydarzeniach organizowanych przez X”. Podwójne potwierdzenie zapisu (double opt-in) nie jest jedyną dopuszczalną metodą, jednak ułatwia wykazanie, że adresu użyła osoba z dostępem do skrzynki.

• treść formularza z chwili zapisu,
• datę i godzinę,
• źródło leada oraz adres strony lub kampanii,
• zakres zaznaczonych zgód,
• wersję klauzuli informacyjnej,
• informację o wycofaniu zgody lub sprzeciwie.

Jasny formularz ma znaczenie, bo w 2025 roku 58,8% użytkowników internetu w Unii Europejskiej odmówiło wykorzystania swoich danych do celów reklamowych (Eurostat, 2026).

Kanały kontaktu i cookies

E-mail, SMS i telefon

RODO rozstrzyga, czy dane można przetwarzać. Przepisy o komunikacji elektronicznej mogą dodatkowo wymagać zgody na sam kanał. UODO wskazuje zakaz połączeń marketingowych bez uprzedniej zgody abonenta lub użytkownika końcowego (UODO, 2026). Aktualne brzmienie ustawy Prawo komunikacji elektronicznej i praktykę UKE sprawdź z prawnikiem przed zmianą procesu.

Klient może zgodzić się na newsletter i odmówić telefonu, a twój system musi ten wybór respektować. Rozdziel więc zgody na:

• e-mail,
• SMS,
• rozmowę telefoniczną,
• komunikator,
• przekazanie danych partnerowi,

Dyrektywa ePrivacy dopuszcza marketing własnych podobnych produktów do dotychczasowych klientów, jeśli przy zbieraniu danych i w każdej wiadomości dostali łatwą, bezpłatną możliwość sprzeciwu (Parlament Europejski i Rada Unii Europejskiej, 2002). Zastosowanie tego wyjątku w Polsce wymaga sprawdzenia dla konkretnego kanału.

Cookies i piksele reklamowe

Zgoda na newsletter nie obejmuje śledzenia w celach reklamowych. Pomiar odwiedzin, personalizacja strony, remarketing i dopasowanie reklamy to osobne cele z osobną oceną. Przy technologiach odczytujących informacje z urządzenia obowiązuje art. 5 ust. 3 dyrektywy ePrivacy, a zgoda musi spełniać warunki RODO, w tym łatwe wycofanie (EDPB, 2026).

Porada wiecejsprzedazy.pl: wyklucz z grup remarketingowych osoby, które odrzuciły cookies marketingowe. Przez co najmniej 7 dni porównuj liczbę poprawnych zapisów i koszt pozyskania leada w grupie z aktywnymi zgodami i w grupie wykluczonej. Wynik uznaj za poprawny dopiero wtedy, gdy żadna osoba bez zgody nie otrzymała reklamy.

Ocena leadów, bazy od partnerów i rezygnacje

Profilowanie i scoring

Automatyczna ocena leada (scoring) jest profilowaniem, gdy system przypisuje osobie wynik na podstawie jej danych lub aktywności. Potrzebujesz wtedy podstawy prawnej, opisu celu, informacji dla osoby i ograniczenia danych do niezbędnych. Sprawdź, czy scoring nie prowadzi do automatycznej odmowy oferty, innej ceny albo wykluczenia z kampanii, bo RODO ogranicza decyzje wyłącznie automatyczne o istotnych skutkach. Danych o zdrowiu, religii, poglądach czy orientacji seksualnej nie używaj do budowania grup reklamowych bez spełnienia zaostrzonych warunków.

Dane o zdrowiu, religii, poglądach czy orientacji seksualnej nie używaj do budowania grup reklamowych bez spełnienia zaostrzonych warunków.

Leady od partnerów

Kupno bazy nie przenosi na ciebie legalności jej zebrania. Ta sama ostrożność obowiązuje w pozyskiwaniu klientów B2B, gdy kontakty dostarcza zewnętrzna firma. Ustal, skąd pochodzą dane, czy zgoda obejmowała ciebie jako odbiorcę i jakie kanały. Partner może być podmiotem przetwarzającym, odrębnym administratorem albo współadministratorem, a o roli decyduje faktyczny sposób działania, niezależnie od nazwy umowy.

a o roli decyduje faktyczny sposób działania, niezależnie od nazwy umowy.

Retencja i sprzeciw

RODO nie podaje jednego okresu przechowywania leadów, więc określasz go według celu i ryzyka. Wycofanie zgody ma być równie łatwe jak jej udzielenie: link rezygnacji działa bez logowania i blokuje wysyłki także u partnerów. Minimalna lista blokad, ograniczona do danych niezbędnych, pozwala respektować sprzeciw po usunięciu reszty rekordu (UODO, 2022; EUR-Lex, 2016).

Minimalna lista blokad, ograniczona do danych niezbędnych, pozwala respektować sprzeciw po usunięciu reszty rekordu.

Lista kontrolna i test na ten tydzień

[ ] Określono administratora danych
[ ] Każdy cel ma podstawę prawną
[ ] Formularz rozdziela cele i kanały
[ ] Zgody nie są domyślnie zaznaczone i są dobrowolne
[ ] Klauzula informacyjna jest dostępna
[ ] Zapisano dowód zgody
[ ] System respektuje rezygnacje
[ ] Osoby ze sprzeciwem są wykluczone z reklam
[ ] Zweryfikowano dostawców narzędzi i umowy powierzenia
[ ] Określono okres przechowywania
[ ] Oceniono profilowanie i scoring
[ ] Sprawdzono transfer danych poza EOG
[ ] Przygotowano procedurę obsługi żądań osób

Test do ustawienia w tym tygodniu:

1. Wybierz formularz o największym ruchu.
2. Hipoteza: rozdzielenie zgody na newsletter od zgody na telefon zmniejszy liczbę zgód, ale ograniczy późniejsze rezygnacje.
3. Mierz współczynnik ukończenia formularza, liczbę prawidłowych zgód, rezygnacje w ciągu 14 dni i ręczne prośby o zaprzestanie kontaktu.
4. Próg ustal przed startem: co najmniej 20% mniej rezygnacji przy spadku zapisów nie większym niż 10%.
5. Porównuj grupy o podobnym źródle ruchu i tym samym czasie działania.

Porada wiecejsprzedazy.pl: raz w tygodniu otwórz formularz w trybie incognito i sprawdź, czy przed zaznaczeniem pola widać administratora, cel, kanał kontaktu i link do polityki prywatności. Wynik zapisz jako kontrolę procesu, osobno od wyników konwersji.