Kupujesz bazy leadów? Francuska sprawa Solocal pokazuje, kto odpowiada za zgodę

Kupno gotowej bazy kontaktów wygląda na szybki sposób na dotarcie do nowych klientów. Ktoś inny zebrał dane, ktoś inny „zebrał zgody”, a Ty tylko wysyłasz kampanię. Francuski organ ochrony danych CNIL przypomina na przykładzie spółki Solocal Marketing Services, że tak to nie działa. Za zgodę odpowiada ten, kto z niej korzysta.

Punkt wyjścia: 900 tys. euro kary

Solocal Marketing Services kupowała dane potencjalnych klientów od pośredników, czyli brokerów danych, serwisów z konkursami i loteriami oraz stron oferujących testowanie produktów. Następnie wysyłała do tych osób SMS-y i e-maile z ofertami swoich klientów reklamodawców.

15 maja 2025 r. organ sankcyjny CNIL nałożył na spółkę karę 900 tys. euro. Powodem były naruszenia francuskich przepisów o komunikacji elektronicznej oraz RODO w zakresie zbierania zgód na marketing i udowadniania, że zgoda została wyrażona. Według komunikatu CNIL z tamtego czasu sprawa dotyczyła kilku milionów osób.

Najważniejszy zarzut dotyczył wyglądu formularzy. Na stronach partnerów przycisk oznaczający udział w konkursie wraz ze zgodą na marketing był wyraźnie wyeksponowany wielkością i kolorem. Możliwość wzięcia udziału bez zgody była znacznie mniejsza i zlewała się z resztą tekstu. CNIL uznał, że taki projekt wprowadza w błąd, a zgoda zebrana w ten sposób nie jest dobrowolna ani jednoznaczna. Organ zwrócił też uwagę, że jeden z głównych dostawców danych nie potrafił wykazać zgód, a spółka przez prawie 17 miesięcy zwlekała z zaprzestaniem korzystania z jego danych.

Oprócz kary CNIL wydał nakaz: w ciągu dziewięciu miesięcy spółka miała przestać prowadzić marketing elektroniczny bez ważnej zgody. Za każdy dzień zwłoki groziła dodatkowa kwota 10 tys. euro.

Co się zmieniło: nakaz zamknięty

Decyzją z 17 września 2026 r. CNIL zamknął nakaz. Spółka w terminie wykazała, że wprowadziła mechanizmy pozwalające sprawdzać ważność zgód zbieranych w jej imieniu przez partnerów. Składają się na nie dwa elementy:

• automatyczna analiza formularzy, w których partnerzy zbierają dane,
• ocena dokonywana przez człowieka, która uzupełnia automat.

Organ uznał te środki za wystarczające, jeśli będą skrupulatnie stosowane. Dlatego nie zażądał dodatkowej kary za zwłokę.

W komunikacie pojawiło się jednak ważne zastrzeżenie. Nawet przy działającej kontroli spółka nadal odpowiada za ważność zgód zebranych przez partnerów. Jeśli jakiś wadliwy formularz prześlizgnie się przez sito, odpowiedzialność może zostać przypisana właśnie jej.

Dlaczego to ważne w Polsce

Sprawa toczyła się we Francji, ale mechanizm jest uniwersalny. W Polsce wysyłka informacji handlowych e-mailem lub SMS-em wymaga uprzedniej zgody odbiorcy, a od 10 listopada 2024 r. kwestie te reguluje Prawo komunikacji elektronicznej. Do tego dochodzi RODO, które wymaga, by administrator potrafił udowodnić, że zgoda została wyrażona.

Formularze konkursowe z jaskrawym przyciskiem „Biorę udział i akceptuję wszystko” oraz ledwo widocznym linkiem „bez zgody” znane są także w polskim internecie. Ta sama logika obowiązuje przy banerach cookie: jeśli przycisk akceptacji jest duży i kolorowy, a odmowa ukryta albo trudna do znalezienia, zgoda może zostać uznana za nieważną.

Warto też zauważyć, jak przebiegała ta sprawa w czasie. Kara i nakaz to nie koniec postępowania. Organ sprawdzał potem, czy firma rzeczywiście zmieniła sposób działania, a groźba dodatkowych opłat za każdy dzień zwłoki była realną zachętą do szybkiej reakcji. Dla reklamodawców, którzy zlecają kampanie takim pośrednikom, to również sygnał, by pytać wykonawcę, skąd ma dane i jak weryfikuje zgody. Wiadomość trafia przecież do odbiorcy z ofertą konkretnej marki.

Jak sprawdzić źródło swoich kontaktów

Jeśli korzystasz z zewnętrznych baz albo generujesz leady przez partnerów, zadaj sobie kilka pytań:

1. Czy wiesz, jak wyglądał formularz? Poproś partnera o zrzuty ekranu lub link do formularza, w którym zbierano zgodę. Sprawdź, czy odmowa była równie łatwa jak akceptacja.
2. Czy zgoda obejmuje Ciebie? Osoba musi wiedzieć, od kogo dostanie wiadomości. Ogólna zgoda na „oferty partnerów” bez wskazania, kim są, budzi poważne wątpliwości.
3. Czy masz dowód? Data, godzina, treść zgody i wersja formularza powinny być zapisane i dostępne na żądanie.
4. Czy reagujesz na sygnały ostrzegawcze? Skargi odbiorców, wysoki odsetek wypisów, brak dokumentacji u dostawcy - to powody, by natychmiast wstrzymać korzystanie z danych, a nie czekać miesiącami.
5. Czy kontrolujesz partnerów na bieżąco? Solocal zamknął sprawę dzięki połączeniu automatycznej analizy formularzy z oceną człowieka. Nawet w małej firmie można raz na jakiś czas przejrzeć formularze dostawców leadów.

Zacznij od własnej strony

Najbezpieczniejsze są zgody, które zbierasz sam: na swojej stronie, w przejrzystym formularzu, z jasną informacją, kto i w jakim celu się z daną osobą skontaktuje. To samo dotyczy zgód na pliki cookie i narzędzia marketingowe. Przyciski „Akceptuję” i „Odrzucam” powinny być równie widoczne, a skrypty reklamowe nie powinny ruszać przed decyzją użytkownika.

Jeśli chcesz sprawdzić, jak pod tym względem wypada Twoja witryna, uruchom darmowy Skaner zgody. Pokaże on, czy narzędzia śledzące nie startują, zanim odwiedzający zdąży cokolwiek wybrać.

Źródło: CNIL

CNILzgoda marketingowabazy danychdark patternsRODO