Dane kontaktowe nowych firm – legalne metody RODO

Pozyskanie danych kontaktowych nowych firm brzmi prosto — pobierz bazę, wyślij ofertę, czekaj na odpowiedzi. W rzeczywistości każdy krok tego procesu podlega RODO, a w 2026 roku organy nadzorcze i świadomi przedsiębiorcy coraz częściej kwestionują nielegalny outreach. Błąd nie kończy się tylko grzywną — niszczy reputację domeny e-mail, markę i relacje z potencjalnymi klientami.

Ten artykuł wyjaśnia, jak legalnie pozyskiwać i wykorzystywać dane kontaktowe nowo zarejestrowanych firm w Polsce. Nie jest poradą prawną — to praktyczny przewodnik oparty na powszechnych interpretacjach RODO w kontekście B2B. W razie wątpliwości skonsultuj się z prawnikiem specjalizującym się w ochronie danych.

Czym są „dane kontaktowe nowych firm" w kontekście prawnym?

Dane kontaktowe nowych firm to informacje umożliwiające dotarcie do przedsiębiorcy lub podmiotu gospodarczego: e-mail, telefon, adres, strona WWW. W CEIDG przedsiębiorca dobrowolnie podaje e-mail i telefon — nie jest to obowiązek rejestracji.

Kluczowe rozróżnienie prawne:

Wszystkie dane w CEIDG są publiczne — każdy może je przeglądać. To jednak nie oznacza, że można je przetwarzać w dowolny sposób. RODO reguluje cel i podstawę przetwarzania, nie sam fakt dostępności.

Podstawy prawne przetwarzania danych firmowych

Art. 6 ust. 1 RODO — podstawy przetwarzania

W kontekście B2B prospectingu najczęściej powołuje się na:

Lit. f) — prawnie uzasadniony interes administratora. Twoja firma ma uzasadniony interes w oferowaniu usług B2B innym przedsiębiorcom, o ile nie narusza to praw i wolności osoby, której dane dotyczą. To najczęstsza podstawa cold emailu i cold callingu B2B w Polsce.

Lit. b) — wykonanie umowy lub działania przedumowne. Gdy firma sama wysłała zapytanie lub wypełniła formularz — podstawa jest silniejsza.

Lit. a) — zgoda. Rzadko stosowana w cold outreachu, bo zgoda musi być dobrowolna, konkretna i łatwa do wycofania. Kupowanie „baz ze zgodami" to czerwona flaga.

Test równowagi (balancing test)

Przy podstawie „prawnie uzasadniony interes" musisz przeprowadzić test równowagi:

Czy Twój interes jest rzeczywisty i uzasadniony? (np. oferowanie usług księgowych nowym firmom)
Czy przetwarzanie jest niezbędne? (czy nie da się osiągnąć celu mniej inwazyjnie?)
Czy prawa osoby, której dane dotyczą, nie przeważają nad Twoim interesem?

W praktyce B2B: oferta usługi biznesowej na służbowy e-mail podany w publicznym rejestrze zwykle przechodzi test równowagi — pod warunkiem profesjonalnego, nieagresywnego outreachu i łatwego opt-out.

Legalne źródła danych kontaktowych nowych firm

1. CEIDG — rejestr publiczny (najbezpieczniejsze źródło)

CEIDG to oficjalny rejestr prowadzony na podstawie ustawy o Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Przedsiębiorca świadomie publikuje dane, wiedząc, że są publiczne.

Co możesz legalnie zrobić z danymi CEIDG:

Pobierać dane o nowo zarejestrowanych firmach.
Przetwarzać NIP, nazwę, PKD, adres, datę rejestracji.
Kontaktować się na e-mail podany w CEIDG — z odpowiednią podstawą prawną.
Przechowywać dane w CRM w celu prowadzenia sprzedaży B2B.

Czego nie możesz:

Sprzedawać surowych danych CEIDG jako „bazy mailingowej" bez informowania o źródle.
Przetwarzać danych w celach niezgodnych z informacją podaną przy zbieraniu.
Ignorować prośby o usunięcie danych (opt-out).

Agregatory takie jak nowe-firmy.pl pobierają dane z CEIDG i dostarczają je w formacie gotowym do prospectingu — źródło pochodzenia jest jawne i publiczne.

2. KRS — dane spółek kapitałowych

KRS zawiera dane o spółkach, ale rzadko zawiera bezpośrednie e-maile. Kontakt z prezesem spółki wymaga dodatkowego wzbogacenia (np. LinkedIn, strona WWW firmy). Podstawa prawna pozostaje ta sama — prawnie uzasadniony interes B2B.

3. Strona internetowa firmy

Jeśli nowa firma ma stronę WWW z adresem e-mail (np. biuro@, kontakt@), to dane podane w celu kontaktu biznesowego. Można je wykorzystać do oferty B2B — z opt-out i profesjonalnym tonem.

4. LinkedIn i media społecznościowe

Dane publiczne na LinkedIn (stanowisko, firma) można wykorzystać w kontekście B2B, ale LinkedIn ma własne regulaminowe ograniczenia (np. Sales Navigator). RODO i regulamin platformy to dwa osobne zestawy reguł.

5. Czego unikać — nielegalne lub ryzykowne źródła

Kupione bazy „z telefonami i mailami" bez źródła pochodzenia. Najczęstsze źródło problemów z UODO.
Scraping prywatnych profili bez podstawy prawnej.
Bazy „opt-in" z niejasnym pochodzeniem zgód.
Odsprzedaż danych CEIDG jako produktu finalnego bez informacji o przetwarzaniu.

Cold email B2B do nowych firm — zasady zgodności z RODO

Cold email do przedsiębiorcy prowadzącego działalność gospodarczą to nie to samo co spam do konsumenta. W Polsce outreach B2B na podstawie prawnie uzasadnionego interesu jest powszechną praktyką — pod warunkiem przestrzegania zasad:

Checklist cold emailu zgodnego z RODO

Tożsamość nadawcy — pełna nazwa firmy, adres, NIP w stopce.
Podstawa prawna — informacja, że przetwarzasz dane na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO).
Cel przetwarzania — np. „przedstawienie oferty usług księgowych".
Prawo sprzeciwu — jasna informacja, jak zrezygnować z dalszych wiadomości (opt-out).
Prawo skargi do UODO — wymagana klauzula informacyjna.
Trafność oferty — oferta musi być związana z działalnością odbiorcy (PKD, branża).
Profesjonalny ton — jedna wiadomość, nie seria agresywnych follow-upów bez odpowiedzi.
Rejestr opt-out — honoruj każdą prośbę o usunięcie natychmiast i permanentnie.

Wzór klauzuli RODO w cold emailu B2B

Administratorem Twoich danych osobowych jest [Nazwa Firmy], [adres], NIP [numer]. Przetwarzamy dane w celu przedstawienia oferty handlowej na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Masz prawo sprzeciwu wobec przetwarzania, dostępu do danych, sprostowania i skargi do Prezesa UODO. Aby zrezygnować z kontaktu, odpowiedz „STOP" na tę wiadomość.

Prawo komunikacji elektronicznej (PKE) — czy potrzebujesz zgody?

Ustawa Prawo komunikacji elektronicznej (dawniej PKE, obecnie regulacje w ustawie o świadczeniu usług drogą elektroniczną) dotyczy marketingu bezpośredniego. W kontekście B2B interpretacje się różnią:

Oferta handlowa B2B na służbowy e-mail z publicznego rejestru — często kwalifikowana jako kontakt biznesowy, nie marketing konsumencki.
Masowe, niestotne oferty („kup nasze buty") na firmowy e-mail — ryzykowne.

Klucz: trafność oferty do profilu działalności odbiorcy. Księgowość dla nowej JDG — trafne. Oferta pożyczki na firmowym mailu restauracji — wątpliwe.

Cold calling — zasady telefonicznego prospectingu B2B

Telefon do przedsiębiorcy na numer podany w CEIDG podlega podobnej logice co e-mail:

Podstawa: prawnie uzasadniony interes B2B.
Informacja o administratorze danych — ustnie lub follow-up e-mailem.
Prawo sprzeciwu — jeśli odbiorca prosi o brak dalszych kontaktów, respektuj natychmiast.
Rejestr „Nie dzwoń" (DO NOT CALL) — dotyczy marketingu do konsumentów, nie do przedsiębiorców B2B. Jednak dobrym zwyczajem jest prowadzenie własnej listy wykluczeń.

Przechowywanie danych w CRM — obowiązki administratora

Po pozyskaniu danych kontaktowych nowych firm i pierwszym kontakcie, dane trafiają do CRM. Twoje obowiązki:

Dokumentacja RODO

Rejestr czynności przetwarzania — opis: skąd dane (CEIDG), cel (sprzedaż B2B), podstawa (lit. f), okres przechowywania.
Polityka prywatności — opublikowana na stronie firmy.
Procedura opt-out — kto obsługuje, w jakim czasie (rekomendacja: 24h).
Test równowagi — udokumentowany dla prospectingu B2B.

Okres przechowywania

Nie przechowuj danych „na zawsze". Rekomendowane zasady:

Aktywny lead w pipeline — do zamknięcia szansy + 12 miesięcy.
Brak odpowiedzi po 3 kontaktach — usuń lub zanonimizuj po 6 miesiącach.
Opt-out — usuń natychmiast, zapisz tylko NIP na liście wykluczeń (bez danych osobowych).

Bezpieczeństwo techniczne

CRM z kontrolą dostępu (kto widzi dane).
Szyfrowanie w transporcie (HTTPS) i w spoczynku.
Backup z ograniczonym dostępem.
Umowy powierzenia z dostawcami CRM (HubSpot, Pipedrive — standardowo w DPA).

RODO a dane z nowe-firmy.pl — jak to działa?

nowe-firmy.pl dostarcza dane pochodzące z publicznego rejestru CEIDG. Jako odbiorca danych Ty jesteś administratorem w kontekście dalszego przetwarzania (CRM, outreach). nowe-firmy.pl jest podmiotem przetwarzającym na etapie agregacji.

Twoje kroki po pobraniu bazy:

Udokumentuj źródło danych (CEIDG via nowe-firmy.pl).
Przeprowadź test równowagi dla swojego use case.
Dodaj klauzulę RODO do komunikacji outbound.
Prowadź rejestr opt-out.
Nie odsprzedawaj surowych danych osobom trzecim.

To standardowy model w branży data-driven sales — analogiczny do korzystania z LinkedIn Sales Navigator czy Apollo, z tą różnicą, że źródło (CEIDG) jest publiczne i jawne.

Najczęstsze błędy RODO w prospectingu nowych firm

Błąd 1: Brak opt-out

Wysyłasz e-maile bez możliwości rezygnacji. To najprostsza droga do skargi i grzywny.

Rozwiązanie: Link lub odpowiedź „STOP" w każdej wiadomości. Rejestr wykluczeń w CRM.

Błąd 2: Kupowanie „baz z consentem"

Baza „500 000 maili ze zgodami" za 200 PLN — zgody są fałszywe lub nieaktualne.

Rozwiązanie: CEIDG + własny outreach z podstawą lit. f.

Błąd 3: Masowe, nietrafione oferty

Wysyłasz tę samą ofertę do wszystkich PKD. To słaby interes prawny i niska konwersja.

Rozwiązanie: Segmentacja po PKD i regionie. Oferta dopasowana do branży. Narzędzia takie jak nowe-firmy.pl umożliwiają filtrowanie.

Błąd 4: Brak dokumentacji

Nie masz rejestru czynności przetwarzania ani testu równowagi.

Rozwiązanie: Jednorazowy audyt RODO z prawnikiem. Szablon dokumentacji kosztuje mniej niż jedna grzywna.

Błąd 5: Ignorowanie wykreśleń z CEIDG

Kontaktujesz się z firmą, która już zakończyła działalność.

Rozwiązanie: Regularnie filtruj status wpisu. Świeże dane z agregatora CEIDG minimalizują ten problem.

Błąd 6: Przesyłanie danych poza EOG bez zabezpieczeń

CRM hostowany w USA bez Standard Contractual Clauses.

Rozwiązanie: Sprawdź DPA dostawcy CRM. HubSpot, Pipedrive oferują SCC.

Praktyczny workflow — od danych do legalnego kontaktu

Oto sprawdzony proces dla zespołu sprzedaży B2B w 2026 roku:

Krok 1: Pozyskanie danych Pobierz listę nowych firm z CEIDG (ręcznie lub via nowe-firmy.pl). Filtruj po PKD i regionie.

Krok 2: Kwalifikacja Sprawdź status wpisu (aktywny), PKD główny, obecność danych kontaktowych.

Krok 3: Przygotowanie komunikacji Spersonalizuj ofertę pod branżę. Dodaj klauzulę RODO w stopce.

Krok 4: Wysyłka / kontakt Jeden e-mail lub telefon. Profesjonalny ton. Bez agresywnych follow-upów.

Krok 5: Obsługa odpowiedzi Zainteresowany → szansa w CRM (podstawa lit. b). Opt-out → natychmiastowe usunięcie. Brak odpowiedzi → max 2 follow-upy w 14 dni, potem archiwizacja.

Krok 6: Dokumentacja Aktualizuj rejestr czynności. Raz na kwartał — przegląd listy wykluczeń.

Więcej o strategii sprzedaży: jak wykorzystać dane o nowych firmach w sprzedaży B2B.

Kiedy potrzebujesz prawnika?

Ten przewodnik pokrywa standardowy prospecting B2B z danych CEIDG. Skonsultuj się z prawnikiem, jeśli:

Przetwarzasz dane wrażliwe (zdrowie, finanse osobiste).
Działasz na rynkach poza UE (UK, USA — inne regulacje).
Otrzymałeś skargę do UODO lub wezwanie.
Budujesz produkt SaaS przetwarzający dane firmowe dla klientów (wtedy jesteś procesorem lub współadministratorem).
Wysyłasz oferty do osób fizycznych nieprowadzących działalności (konsumenci — inne zasady).

Podsumowanie — legalne metody pozyskiwania danych kontaktowych

Dane kontaktowe nowych firm w Polsce można pozyskiwać legalnie, jeśli:

Źródło jest jawne — CEIDG, KRS, publiczna strona WWW.
Podstawa prawna jest udokumentowana — najczęściej prawnie uzasadniony interes (art. 6 ust. 1 lit. f).
Oferta jest trafna — dopasowana do profilu działalności (PKD).
Opt-out działa — natychmiastowy i permanentny.
Dokumentacja istnieje — rejestr czynności, test równowagi, polityka prywatności.

nowe-firmy.pl dostarcza dane z CEIDG w formacie gotowym do prospectingu — Ty odpowiadasz za legalny outreach. Sprawdź bazę nowych firm i zbuduj proces sprzedaży zgodny z RODO od pierwszego dnia.

FAQ — Najczęściej zadawane pytania

1. Czy mogę wysyłać cold email do firm z danymi z CEIDG?

Tak, w kontekście B2B, na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), pod warunkiem trafnej oferty, klauzuli informacyjnej i możliwości opt-out.

2. Czy potrzebuję zgody odbiorcy na cold email B2B?

Nie w typowym scenariuszu B2B z publicznego rejestru. Zgoda (art. 6 ust. 1 lit. a) nie jest wymagana, jeśli przeszedłeś test równowagi dla prawnie uzasadnionego interesu.

3. Czy dane z nowe-firmy.pl są zgodne z RODO?

Dane pochodzą z publicznego rejestru CEIDG. Jako odbiorca jesteś administratorem dalszego przetwarzania i odpowiadasz za legalny outreach (klauzula, opt-out, dokumentacja).

4. Co zrobić, gdy ktoś prosi o usunięcie danych?

Usuń natychmiast z CRM i list mailingowych. Możesz zachować NIP na liście wykluczeń (bez danych osobowych), aby nie skontaktować się ponownie.

5. Czy cold calling do nowych firm jest legalny?

Tak w kontekście B2B, na podstawie prawnie uzasadnionego interesu, z informacją o administratorze danych i poszanowaniem sprzeciwu. Rejestr DO NOT CALL dotyczy konsumentów, nie przedsiębiorców.

6. Czy mogę kupić bazę mailową i wysyłać oferty?

Ryzykowne, jeśli nie znasz źródła pochodzenia i podstawy prawnej. Bezpieczniejsza ścieżka: dane z CEIDG + własny outreach z dokumentacją RODO.