Wielka Brytania i Irlandia: e-mail B2B na zimno według PECR i SI 336/2011

Wielka Brytania i Irlandia, wdrażając unijne przepisy ePrivacy, wybrały drogę „sprzeciwu (opt-out) dla firm”, a Wielka Brytania zachowała swoją wersję po wyjściu z UE. Dla producenta są to więc najprostsze rynki Europy Zachodniej, jeśli chodzi o pierwszy e-mail do dystrybutora — z kilkoma pułapkami, w które wpadają ci, którzy zakładają, że „w B2B wszystko wolno”.

W skrócie: możesz wysłać niezamówiony e-mail marketingowy do spółki kapitałowej w Wielkiej Brytanii lub Irlandii. Nie wolno Ci ukrywać, kim jesteś, musisz podać ważny adres do rezygnacji i musisz przestać, gdy ktoś o to poprosi. W Wielkiej Brytanii jednoosobowe działalności gospodarcze i większość spółek osobowych traktuje się jak osoby fizyczne, więc pisanie do nich wymaga zgody; w Irlandii adresu służbowego jednoosobowej działalności lub pracownika można użyć bez zgody, gdy wiadomość dotyczy wyłącznie jego działalności. Wskazani z imienia i nazwiska pracownicy nadal są osobami w rozumieniu RODO, więc obowiązek informacyjny i prawo sprzeciwu ich dotyczą.

Wielka Brytania: przepisy 22 i 23 PECR

Zasady wynikają z Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR), a egzekwuje je Information Commissioner's Office (ICO, brytyjski organ ochrony danych).

Przepis 22 stanowi, że „applies to the transmission of unsolicited communications by means of electronic mail to individual subscribers” (dotyczy przesyłania niezamówionych komunikatów pocztą elektroniczną do abonentów indywidualnych). W przypadku tych odbiorców wymagana jest zgoda, chyba że ma zastosowanie tzw. soft opt-in (dane uzyskane przy sprzedaży lub negocjacjach, podobne produkty, łatwa odmowa przy zbieraniu danych i w każdej wiadomości). Przepis 22 nie dotyczy abonentów korporacyjnych.

Przepis 2 definiuje abonenta korporacyjnego jako spółkę, spółkę utworzoną na mocy przywileju królewskiego, spółkę osobową w Szkocji, jednoosobową korporację (corporation sole) lub „any other body corporate or entity which is a legal person distinct from its members” (każdy inny podmiot korporacyjny lub jednostkę będącą osobą prawną odrębną od swoich członków). Osoba indywidualna to „a living individual and includes an unincorporated body of such individuals” (żyjąca osoba fizyczna, w tym nieposiadające osobowości prawnej zrzeszenie takich osób) — dlatego jednoosobowe działalności i zwykłe (nieszkockie) spółki osobowe są na gruncie PECR osobami indywidualnymi.

Przewodnik ICO mówi to samo prostymi słowami: „You can email or text any corporate body (a company, Scottish partnership, limited liability partnership or government body)” (możesz wysłać e-mail lub SMS do każdego podmiotu korporacyjnego: spółki, szkockiej spółki osobowej, LLP czy organu publicznego), natomiast „sole traders and some partnerships are treated as individuals, so you can only email or text them if they have specifically consented, or if they bought a similar product from you in the past and didn't opt out” (jednoosobowe działalności i niektóre spółki osobowe traktuje się jak osoby fizyczne, więc możesz do nich pisać tylko za ich wyraźną zgodą albo jeśli kupiły od Ciebie wcześniej podobny produkt i nie zrezygnowały).

Przepis 23 dotyczy każdego e-maila marketingowego, bez względu na odbiorcę. Nie wolno go wysłać, jeśli „the identity of the person on whose behalf the communication has been sent has been disguised or concealed” (tożsamość osoby, w imieniu której wysłano komunikat, została zamaskowana lub ukryta) albo jeśli „a valid address to which the recipient of the communication may send a request that such communications cease has not been provided” (nie podano ważnego adresu, na który odbiorca może przesłać żądanie zaprzestania takich komunikatów).

Adresy imienne a UK GDPR

Do abonenta korporacyjnego można pisać na podstawie PECR, ale firstname.surname@company.co.uk należy do człowieka. ICO zauważa, że „you may also need to consider data protection implications if you are emailing employees at a corporate body who have personal corporate email addresses” (może być konieczne uwzględnienie skutków dla ochrony danych, jeśli piszesz do pracowników podmiotu korporacyjnego mających imienne adresy firmowe). UK GDPR odzwierciedla tekst unijny: prawnie uzasadniony interes jako podstawa prawna, informacja o prywatności przy pierwszym kontakcie, jeśli adres nie został zebrany od samej osoby, oraz bezwzględne prawo sprzeciwu wobec marketingu bezpośredniego. Krótka stopka z Twoją tożsamością, źródłem adresu i rezygnacją jednym krokiem spełnia jednocześnie wymogi PECR i UK GDPR.

Co zmieniło się w 2025 r.

Data (Use and Access) Act 2025 znowelizował PECR. Według podsumowania ICO ustawa dostosowuje „the enforcement powers under PECR into line with UK GDPR, so that enforcement mechanisms and penalties are the same in most cases” (uprawnienia egzekucyjne z PECR do UK GDPR, tak aby mechanizmy egzekucji i kary były w większości przypadków takie same), rozszerza definicję komunikatu na wszystko, co zostało „transmitted” (przesłane), niezależnie od tego, czy dotarło, i dodaje soft opt-in dla organizacji charytatywnych. Sytuacja abonentów korporacyjnych się nie zmieniła. ICO informuje, że jego wytyczne dotyczące PECR są w trakcie przeglądu; sprawdzaj aktualne strony.

Irlandia: SI 336/2011, przepis 13

Irlandia wdrożyła dyrektywę ePrivacy w European Communities (Electronic Communications Networks and Services) (Privacy and Electronic Communications) Regulations 2011, S.I. No. 336 of 2011. Egzekwuje je Data Protection Commission (DPC, irlandzki organ ochrony danych), która — co w Europie nietypowe — ściga naruszenia przed sądami karnymi.

Przepis 13 wymaga zgody na niezamówiony e-mail marketingowy do abonenta będącego osobą fizyczną. W przypadku pozostałych abonentów, czyli firm, e-mail jest dozwolony, ale staje się przestępstwem, gdy firma poinformowała Cię, że się nie zgadza. Postępowanie DPC przeciwko Viking Direct (Ireland) Limited pokazuje, jak to działa w praktyce: właściciel firmy otrzymywał marketing na firmowy adres e-mail po wysłaniu trzech próśb o rezygnację, a spółce postawiono zarzut z przepisu 13 ust. 4 za „sending an unsolicited marketing email to a business email address” (wysłanie niezamówionego e-maila marketingowego na firmowy adres e-mail). Streszczenie sprawy przez DPC odnotowuje, że błędy wynikały z wewnętrznego procesu wykluczeń w spółce — czyli dokładnie z systemu, który producent musi mieć dobrze ustawiony.

Przepis 13 zawiera też reguły uniwersalne: nie maskuj nadawcy i podaj ważny adres, na który odbiorca może przesłać żądanie zaprzestania komunikatów.

Kary nalicza się za każdą wiadomość. Wytyczne DPC stwierdzają, że przestępstwo z przepisu 13 zagrożone jest „on summary conviction ... a fine of up to €5,000 for each unsolicited marketing email” (w trybie uproszczonym grzywną do 5000 EUR za każdy niezamówiony e-mail marketingowy), a w trybie aktu oskarżenia (on indictment) — grzywną do 50 000 EUR dla osoby fizycznej lub 250 000 EUR dla osoby prawnej. Sądy często stosowały Probation Act albo zamiast kary nakazywały wpłaty na cele charytatywne, ale DPC publikuje każdą sprawę.

W przypadku osób fizycznych, w tym jednoosobowych działalności, przepis 13 ust. 2 wyłącza adresy służbowe: e-mail na adres, który w rozsądnej ocenie jest używany głównie w działalności handlowej lub służbowej danej osoby, dotyczący wyłącznie tej działalności, nie jest marketingiem wymagającym zgody. Adresu służbowego jednoosobowej działalności lub pracownika można więc użyć, gdy wiadomość dotyczy ściśle jego działalności; adres prywatny wymaga zgody.

Praktyczny standard w obu krajach

• Tożsamość: nazwa prawna, adres pocztowy, prawdziwy adres do odpowiedzi.
• Rezygnacja: wystarczy linijka „odpowiedz, by zrezygnować”; link do wypisania się też jest w porządku. Musi działać, a prośba musi zostać szybko zrealizowana.
• Wykluczenia: jedna lista dla wszystkich narzędzi i współpracowników. Irlandzkie postępowania dotyczą głównie próśb o rezygnację, które otrzymano i zignorowano.
• Trafność: pisz do osoby na stanowisku, które kupuje Twoją kategorię. UK GDPR i unijne RODO, które obowiązuje w Irlandii, opierają się na prawnie uzasadnionym interesie, a ten zależy od tego, czy odbiorca może rozsądnie spodziewać się wiadomości.
• Wolumen: małe, celowane partie do firm, w przypadku których są dowody, że sprzedają Twoją kategorię. Masowe kampanie ściągają skargi, które sprowadzają do Ciebie ICO i DPC.

Oba kraje pozwalają na pierwszy e-mail na adresy firmowe na powyższych warunkach. W Cresques Irlandia to rynek z dowodami z udzielonych zamówień: widok rynku pokazuje firmy z dowodami sprzedaży Twojej kategorii, a Cresques przygotowuje pierwszy e-mail z opcją rezygnacji, który wysyłasz z własnej skrzynki — więc za każdym e-mailem stoi konkretny powód. Wielką Brytanię obejmuje wyłącznie przewodnik po kraju, bez dowodów z udzielonych zamówień.

Co to oznacza dla producenta

• Pierwszy e-mail do spółki kapitałowej w Wielkiej Brytanii lub Irlandii jest legalny. Niech będzie uczciwy, z jasno wskazanym nadawcą i łatwy do odrzucenia.
• Przed wysyłką sprawdź formę prawną. Nazwa handlowa na stronie internetowej może ukrywać jednoosobową działalność; szukaj oznaczeń „Ltd”, „Limited”, „LLP”, „plc” albo numeru rejestrowego spółki.
• Traktuj imienne kontakty jak ludzi: poinformuj ich, skąd masz adres i że mogą się sprzeciwić.
• Zbuduj listę wykluczeń przed pierwszą wysyłką, a nie po pierwszej skardze.
• Spodziewaj się, że ICO w latach 2026 i 2027 przeredaguje brytyjskie zasady po Data (Use and Access) Act; nie oczekuje się zmian w sytuacji firm, ale czytaj aktualne wytyczne.