Tak — samo kupienie bazy firm jest legalne. Dane z rejestrów publicznych (CEIDG, KRS, REGON) są jawne, a ich opracowanie i sprzedaż to normalna działalność gospodarcza. Ryzyko zaczyna się nie przy zakupie, tylko przy wykorzystaniu tych danych: wysyłce, telefonach i tym, co z danymi robisz później.
To rozróżnienie jest najważniejsze w całej rozmowie o bazach firm, a w ofertach sprzedawców prawie nigdy nie jest powiedziane wprost.
Co dokładnie kupujesz
Kupujesz nie „dane” — dane z rejestrów są darmowe i dostępne publicznie. Kupujesz opracowanie: zebranie rozproszonych informacji w jeden spójny plik, znormalizowane nazwy branż, uzupełnione adresy, zweryfikowane adresy e-mail, ujednolicone słowniki województw i powiatów.
To jest praca, nie treść. I dlatego baza może być legalnie sprzedawana nawet wtedy, gdy każdy pojedynczy rekord można znaleźć za darmo w internecie w kilka minut. Płacisz za to, że nie musisz tych minut mnożyć przez tysiące rekordów.
Praktyczny wniosek: jeśli sprzedawca nie potrafi powiedzieć, co konkretnie zrobił poza „pobraliśmy z CEIDG”, to nie sprzedaje opracowania, tylko przepisany rejestr. Za to nie ma sensu płacić.
Kiedy zakup jest w porządku
Trzy warunki, które musi spełnić transakcja:
- Źródło jest legalne. Dane pochodzą z rejestrów publicznych albo ze stron firmowych zbieranych zgodnie z regulaminami. Nie z wycieku, nie z „grupy na Facebooku”, nie z pliku bez pochodzenia.
- Sprzedawca umie wskazać pochodzenie rekordu. Nie musi zdradzać swojej metody, ale musi umieć odpowiedzieć na pytanie „skąd macie ten e-mail”. Jeśli odpowiedź brzmi „mamy bazę”, to nie jest odpowiedź.
- Umowa mówi, co kupujesz i na jak długo. Zakres pól, licencja (na jaki czas, na ile stanowisk, czy wolno odsprzedać), sposób dostawy i to, czy dostaniesz aktualizacje.
Kiedy nielegalne robi się użycie
Dane firm jednoosobowych (JDG) to w świetle prawa dane osobowe — imię, nazwisko, adres prowadzenia działalności i NIP identyfikują konkretną osobę fizyczną. RODO obowiązuje tu w pełnym zakresie, również w relacjach B2B. Jeśli baza zawiera przedsiębiorców jednoosobowych, musisz posiadać ważną podstawę prawną przetwarzania.
Dla marketingu bezpośredniego B2B najczęstszą podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Nie jest to jednak uniwersalna przepustka (carte blanche). Aby powołać się na tę podstawę, należy przeprowadzić i udokumentować tzw. test równoważenia (Legitimate Interest Assessment - LIA) składający się z trzech etapów:
- Test celowości: czy cel przetwarzania (np. oferowanie usług B2B dopasowanych do branży odbiorcy) jest zgodny z prawem i prawnie uzasadniony?
- Test konieczności: czy przetwarzanie danych kontaktowych jest rzeczywiście niezbędne do osiągnięcia tego celu, czy istnieją mniej ingerujące metody?
- Test wyważenia interesów: czy interes firmy nie narusza w sposób nieproporcjonalny praw i wolności przedsiębiorcy, uwzględniając jego rozsądne oczekiwania w kontekście prowadzonej działalności gospodarczej.
Do tego dochodzą dwa kluczowe obowiązki, o których większość sprzedawców milczy:
- Obowiązek informacyjny (art. 14 RODO). Jeżeli pozyskujesz dane osobowe ze źródeł zewnętrznych (np. z rejestru lub gotowej bazy), masz prawny obowiązek poinformować o tym osobę, której dane dotyczą. Zgodnie z art. 14 ust. 3 lit. a RODO informację tę należy przekazać w rozsądnym terminie po pozyskaniu danych, najpóźniej w ciągu miesiąca — a jeżeli dane mają służyć do komunikacji, najpóźniej przy pierwszym kontakcie (np. w stopce pierwszej wiadomości). W klauzuli musisz podać tożsamość administratora, źródło pozyskania danych, cel i podstawę prawną oraz pouczenie o prawie do wniesienia sprzeciwu.
- Wymóg uprzedniej zgody na komunikację (art. 398 PKE). Nowe Prawo Komunikacji Elektronicznej z dnia 12 lipca 2024 r. (Dz.U. 2024 poz. 1221), które weszło w życie 10 listopada 2024 r., zastąpiło dotychczasowy art. 172 Prawa telekomunikacyjnego oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną. Zgodnie z art. 398 ust. 1 PKE, zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów przesyłania niezamówionej informacji handlowej (w tym marketingu bezpośredniego drogą e-mailową lub telefoniczną) bez uprzedniej zgody abonenta lub użytkownika końcowego. Dotyczy to zarówno osób prywatnych, jak i przedsiębiorców.
To jest moment, w którym „legalna baza” zamienia się w „nielegalny mailing”. Sama baza była w porządku — sposób użycia i brak procedur prawnych naruszyły przepisy.
Porównanie: jak pozyskać bazę firm B2B
| Kryterium | Surowy rejestr CEIDG / KRS | Masowy scraping / Tani broker | Opracowana baza CBG |
|---|---|---|---|
| Legalność źródła | 100% legalne (dane państwowe) | Ryzykowne (często wycieki lub łamanie regulaminów stron) | 100% legalne (CEIDG, KRS, REGON GUS) |
| Status podmiotu | Wymaga ręcznej filtracji | Zawiera firmy zawieszone i zlikwidowane | Tylko aktywne podmioty (odcięte zlikwidowane) |
| Kompletność e-mail | 0% (domyślnie ukryte w CEIDG) | Rzekomo 80–100% (fałszywe wzorce) | 28% (rzeczywiste, zweryfikowane adresy) |
| Weryfikacja domen MX | Brak | Brak (wysoki odsetek bounce) | Pełna walidacja składni i rekordów MX |
| Ryzyko odbić (bounce) | Nie dotyczy | Wysokie (często 15–30%) | Niskie (<3% na zweryfikowanym zbiorze) |
| Zgodność z RODO (art. 14) | Dokumentujesz sam | Brak udokumentowanego pochodzenia rekordu | Udokumentowane źródło i data synchronizacji |
Kiedy kupno samo w sobie jest problemem
Trzy sytuacje, w których nie warto podpisywać umowy:
- Sprzedawca nie umie powiedzieć, skąd ma dane. Odpowiedzialność za zgodność danych z prawem rozkłada się na ciebie jako administratora — nie na niego. Jeśli nie potrafi dowieść pochodzenia, ryzyko zostaje u ciebie.
- Umowa nie zawiera informacji o aktualizacji. Baza bez daty i bez procesu odświeżania jest warta mniej niż plik z rejestru pobrany dzisiaj.
- Oferta obiecuje „100% e-maili”. To niemożliwe dla żadnego zbioru opartego o rejestry publiczne — i sygnał, że dane są dorysowane albo pochodzą z wątpliwego źródła.
Checklista przed zakupem
Siedem pytań, które warto zadać przed przelewem:
- Skąd pochodzą dane i czy możecie to pokazać w umowie?
- Jaka jest data ostatniej synchronizacji — nie „aktualizujemy stale”, tylko konkretna data?
- Jaki procent rekordów ma adres e-mail i telefon, i czy policzyliście to od całości zbioru, czy tylko od rekordów, które już mają kontakt?
- Dostanę próbkę, którą mogę zweryfikować w rejestrze, zanim zapłacę?
- Co się dzieje z danymi, których nie ma — dostaję je później, czy mam je uzupełnić sam?
- Czy umowa zawiera licencję i zakres dozwolonego użycia (własny marketing, praca dla klienta, odsprzedaż)?
- Czy dostanę kolejną wersję i w jakim trybie?
Jeśli sprzedawca odpowiada na te pytania bez namysłu, jest duża szansa, że naprawdę przetwarza dane. Jeśli zaczyna tłumaczyć się „tajemnicą handlową” — to nie jest tajemnica handlowa, tylko brak procesu.
Jak my to robimy
Nasza baza powstaje z CEIDG, KRS i REGON. Podajemy datę synchronizacji i kompletność pól wprost na stronie — także wtedy, gdy liczba nie wygląda imponująco. Nie obiecujemy 100% e-maili, bo taki zbiór nie istnieje. Metodę opisujemy krok po kroku na stronie jak powstają nasze dane, a pełne dane o licencji i źródłach są w dokumencie o źródłach danych.
Najczęstsze pytania
Czy kupno bazy firm wymaga zgody osób w niej zawartych?
Nie — kupno i posiadanie danych nie wymaga zgody. Zgoda (albo inna podstawa prawna, np. uzasadniony interes) jest potrzebna do przetwarzania danych, a przy marketingu elektronicznym dochodzi wymóg zgody na komunikację handlową. To trzy różne rzeczy, które łatwo pomylić.
Czy mogę odsprzedać kupioną bazę?
Tylko jeśli umowa na to pozwala. Domyślnie kupujesz licencję na własne użycie, nie prawa do dalszej dystrybucji. Odsprzedaż bez zgody licencjodawcy to naruszenie umowy i — przy danych osobowych — osobny problem pod RODO.
Czy baza firm z CEIDG jest legalna?
Dane z CEIDG są jawne i publikowane przez państwo. Legalne jest ich pobranie i opracowanie. Nielegalne może być użycie ich w sposób sprzeczny z prawem komunikacji elektronicznej albo bez spełnienia obowiązków informacyjnych z RODO. Jeśli szukasz gotowego zbioru, zobacz bazę firm z adresami e-mail — z pokryciem adresów podanym przed zakupem.
Czy muszę informować, skąd mam dane?
Tak, jeśli przetwarzasz dane osób, które ich nie podały — obowiązek z art. 14 RODO. W praktyce: jedna lub dwie linijki w stopce pierwszej wiadomości ze wskazaniem źródła i sposobu sprzeciwu.
Czy wysłanie zapytania o zgodę na ofertę jest legalne pod PKE?
Zgodnie z ugruntowaną linią orzeczniczą UOKiK oraz Prezesa UKE, samo zapytanie o zgodę nie może samo w sobie zawierać elementów oferty handlowej, cennika ani prezentacji produktu. Zapytanie musi mieć charakter neutralny. Jeśli wiadomość zawiera zachętę do zakupu, w świetle art. 398 PKE zostanie uznana za niezamówioną informację handlową przesłaną bez uprzedniej zgody.
Jakie kary grożą za naruszenie RODO i PKE w marketingu B2B?
Za naruszenie przepisów RODO (np. brak spełnienia obowiązku informacyjnego z art. 14 lub brak podstawy prawnej) Prezes UODO może nałożyć administracyjną karę pieniężną do 20 mln euro lub do 4% całkowitego rocznego obrotu przedsiębiorstwa. Z kolei za naruszenie art. 398 Prawa Komunikacji Elektronicznej (PKE) Prezes Urzędu Komunikacji Elektronicznej (UKE) może nałożyć karę pieniężną w wysokości do 3% przychodu ukaranego podmiotu osiągniętego w poprzednim roku kalendarzowym. Dlatego wdrożenie legalnych procedur przed rozpoczęciem wysyłki jest kluczowe.