Prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO — kontakty B2B i test równowagi

Stan prawny: 2026-10-17. Analiza WILIŃSKI LEGAL.

Rozstrzygnięcie

Art. 6 ust. 1 lit. f RODO może stanowić podstawę przetwarzania danych kontaktowych w relacjach B2B, ale wymaga rzeczywistego interesu, niezbędności przetwarzania i wyważenia praw osób, których dane dotyczą. Sama etykieta „prawnie uzasadniony interes” nie zastępuje analizy.

Dane służbowe nadal mogą być osobowe

Imię, nazwisko, indywidualny e-mail służbowy lub numer telefonu konkretnej osoby pozostają danymi osobowymi, nawet gdy są wykorzystywane do relacji pomiędzy przedsiębiorcami. Administrator musi ustalić cel i podstawę ich przetwarzania. Nie istnieje ogólne wyłączenie RODO dla kontaktów B2B. Inaczej mogą wyglądać sytuacje dotyczące danych czysto organizacyjnych, np. ogólnego adresu biura bez możliwości identyfikacji osoby. Ocena powinna opierać się na konkretnym zbiorze danych.

Trzy etapy testu równowagi

Podstawa z art. 6 ust. 1 lit. f wymaga identyfikacji rzeczywistego i zgodnego z prawem interesu administratora lub strony trzeciej, ustalenia niezbędności przetwarzania do jego realizacji oraz zbadania, czy interesy albo podstawowe prawa osoby nie mają nadrzędnego charakteru. Nie wystarczy stwierdzić, że przetwarzanie jest wygodne dla firmy. Istotne są oczekiwania osoby, rodzaj danych, kontekst ich pozyskania, zakres operacji i możliwe konsekwencje. Wnioski warto utrwalić w dokumentacji zgodności.

Źródło kontaktu i oczekiwania osoby

Jeżeli osoba przekazała wizytówkę podczas rozmowy o współpracy, rozsądne oczekiwania mogą być inne niż w przypadku masowego pozyskiwania adresów z niepowiązanych źródeł. Nie oznacza to automatycznej zgody na każdy późniejszy kanał marketingowy. Administrator powinien rozróżnić obsługę istniejącej relacji od promocji niepowiązanych usług. Test równowagi musi odnosić się do faktycznego celu, a nie do ogólnej deklaracji utrzymywania kontaktów.

Obowiązki informacyjne i zasada minimalizacji

Prawnie uzasadniony interes nie znosi obowiązku przekazania wymaganych informacji na podstawie art. 13 lub 14 RODO, a przetwarzanie musi przestrzegać zasad z art. 5. Należy ograniczać zbierane dane i ustalić racjonalne terminy przechowywania. Nie każda informacja znaleziona na stronie przedsiębiorstwa powinna trafiać do nieograniczonej bazy CRM. Procedura powinna obejmować aktualizowanie rekordów, kontrolę dostępu i sposób realizowania praw osób.

Prawo sprzeciwu z art. 21

Osoba może wnieść sprzeciw wobec przetwarzania opartego na art. 6 ust. 1 lit. f, a w przypadku marketingu bezpośredniego ustawodawca przewiduje szczególnie silne prawo sprzeciwu. Administrator nie powinien kontynuować działań marketingowych po takim sprzeciwie. Konieczne jest prowadzenie list wyłączeń i respektowanie ich w systemach sprzedażowych oraz automatyzacji. Brak technicznego powiązania sprzeciwu z wieloma narzędziami firmy może prowadzić do wielokrotnego naruszenia.

RODO nie zastępuje prawa komunikacji elektronicznej

Prawidłowa podstawa przetwarzania danych nie oznacza automatycznie, że wolno wysyłać dowolne elektroniczne komunikaty marketingowe. Należy oddzielnie sprawdzić wymogi wynikające z przepisów dotyczących komunikacji elektronicznej i marketingu bezpośredniego. Zgoda w jednym reżimie nie jest zawsze tożsama z podstawą w drugim. Dlatego projektując kampanię e-mail B2B, należy równolegle zbadać ochronę danych i zasady kierowania informacji handlowej.

Przykład i konkluzja

Spółka pozyskuje imienne adresy pracowników kontrahentów w celu realizacji zamówień i koordynacji dostaw. Taki cel może uzasadniać odpowiednio ograniczone przetwarzanie, jeśli spełniono test równowagi. Rozszerzenie bazy na niepowiązane kampanie marketingowe wymaga osobnej oceny i spełnienia wymogów dotyczących komunikacji. Dobrze prowadzony CRM powinien dokumentować źródło kontaktu, cel, informowanie osób, okres retencji i obsługę sprzeciwów.

Dokumentowanie testu równowagi

Administrator powinien sporządzić zapis celu, interesu, niezbędności i wpływu na prawa osób, zanim rozpocznie określone przetwarzanie. Taki dokument nie jest gwarancją zgodności, ale pozwala wykazać racjonalne podstawy decyzji. Warto opisać źródło danych, przewidywalność kontaktu, zakres użycia, okres retencji i zabezpieczenia. Nie powinno się kopiować jednego ogólnego testu do wszystkich procesów firmy, jeśli przetwarzanie w sprzedaży, windykacji i HR wywołuje inne ryzyka. Ocena wymaga odniesienia do konkretnej operacji.

Sprzedaż B2B i marketing to różne cele

Przetwarzanie danych osób kontaktowych do realizacji istniejącej umowy z ich pracodawcą może mieć odmienny charakter niż masowa promocja usług do osób, które nie oczekiwały kontaktu. Nie należy więc automatycznie rozszerzać podstawy prawnej z jednego procesu CRM na wszystkie działania działu marketingu. Osobno trzeba sprawdzić przepisy dotyczące niezamówionych komunikatów handlowych i zgód komunikacyjnych. Prawnie uzasadniony interes nie jest prostym zamiennikiem każdego wymogu zgody wynikającego z innych przepisów.

Retencja danych po zakończeniu współpracy

Jeżeli relacja handlowa ustała, administrator powinien ocenić, czy nadal istnieje konkretny interes wymagający przechowywania danych kontaktowych. Nie zawsze uzasadniona jest wieloletnia retencja całej historii wiadomości i prywatnych numerów telefonu. Można różnicować okresy przechowywania danych potrzebnych do rozliczeń, dochodzenia roszczeń i przyszłego kontaktu. Każdy cel wymaga własnej kwalifikacji. Utrwalanie pełnej bazy „na wszelki wypadek” bez realnego uzasadnienia może kolidować z zasadą ograniczenia przechowywania z art. 5 RODO.

Sprzeciw a architektura systemów

Prawo sprzeciwu powinno być obsługiwane nie tylko przez pracownika, który otrzymał e-mail od osoby, ale również przez wszystkie systemy wykonujące przetwarzanie w danym celu. Jeśli CRM jest zintegrowany z mailingiem, narzędziem lead scoringu i zewnętrzną agencją, konieczne jest skuteczne propagowanie wyłączenia. Szczególne znaczenie ma sprzeciw wobec marketingu bezpośredniego, który nie powinien być ignorowany w imię interesu sprzedażowego. Spójne logi i lista suppression pozwalają wykazać rzeczywiste wykonanie żądania.

Przykład testu w przedsiębiorstwie

Spółka otrzymuje dane kierownika zakupów w celu wykonania dostawy i późniejszej obsługi reklamacji. Dla tych ograniczonych czynności możliwe jest przeprowadzenie testu równowagi odnoszącego się do oczekiwań kontaktu biznesowego. Jeśli jednak spółka chce wykorzystać dane do profilowania aktywności i kierowania niepowiązanych ofert, musi przeanalizować nowe cele, intensywność kontaktu oraz inne wymogi prawne. Nie wystarczy zachować dawną informację o prywatności i dopisać szeroki cel marketingowy bez kontroli skutków.

Rozsądne oczekiwania osoby kontaktowej

Dane przekazane podczas targów branżowych w celu omówienia konkretnego zamówienia mogą być przetwarzane w innym kontekście niż dane zebrane do szerokiego profilowania sprzedażowego. Test równowagi z art. 6 ust. 1 lit. f powinien uwzględniać rzeczywiste okoliczności i oczekiwania osoby, a nie wyłącznie gospodarczy interes administratora. Znaczenie ma również możliwość zgłoszenia sprzeciwu, intensywność kontaktu i czas przechowywania danych. Przekazanie wizytówki nie jest bezwarunkową zgodą na wszelkie działania marketingowe. Równolegle trzeba ocenić ograniczenia komunikacji elektronicznej wynikające z odrębnych ustaw. Administrator powinien dokumentować cel pozyskania danych i upewnić się, że systemy CRM nie rozszerzają go bez kontroli. W praktyce obowiązek przejrzystości może być realizowany poprzez odpowiednie informacje udostępniane podczas rozpoczęcia kontaktu lub w prawidłowym terminie wynikającym z RODO.

Checklista

1. Ustal status prawny, cel działania i aktualną podstawę normatywną.
2. Zweryfikuj dokumentację, konkretne przesłanki i wyjątki.
3. Sprawdź prawidłowy tryb i kompetencje odpowiedzialnych osób.
4. Zachowaj uzasadnienie oraz możliwość kontroli decyzji.
5. Skontroluj skutki dla zainteresowanych i ochronę danych.

Źródła

Art. 5, 6 ust. 1 lit. f, 13–14 i 21 RODO; wytyczne Europejskiej Rady Ochrony Danych o prawnie uzasadnionym interesie.

• RODO — rozporządzenie (UE) 2016/679

Tekst ma charakter ogólny i nie zastępuje indywidualnej opinii prawnej.