Automatyczne pozyskiwanie leadów dzięki Albacross czy Bazo. Jak robić to zgodnie z prawem?

Automatyczne pozyskiwanie leadów przez Albacross czy Bazo jest zgodne z prawem tylko wtedy, gdy firma zadba o podstawę prawną przetwarzania danych, rzetelną politykę prywatności oraz zgodę na pliki cookies zebraną przed uruchomieniem skryptu śledzącego. Bez tych trzech elementów nawet najlepiej skonfigurowane narzędzie do identyfikacji firm odwiedzających stronę naraża właściciela biznesu na kontrolę Prezesa Urzędu Ochrony Danych Osobowych i realną karę finansową liczoną w dziesiątkach tysięcy złotych.

Piszę to z pełną świadomością, że większość poradników o automatycznym pozyskiwaniu leadów omija temat przepisów szerokim łukiem. Szkoda, bo to właśnie na styku marketingu B2B i ochrony danych osobowych popełnia się najwięcej błędów. Wdrażałem Albacross dla klienta z branży budowlanej spod Wrocławia i pamiętam dokładnie moment, w którym prawnik klienta zapytał mnie, skąd narzędzie wie, że na stronę wszedł pracownik konkretnej firmy z Gdyni. Nie miałem wtedy gotowej odpowiedzi. Dziś mam.

Czym są Albacross i Bazo i skąd właściwie biorą dane o firmach?

Albacross i Bazo działają na podobnej zasadzie. Skrypt umieszczony na stronie internetowej odczytuje adres IP odwiedzającego, porównuje go z bazą adresów przypisanych do firm i na tej podstawie ustala nazwę przedsiębiorstwa, branżę oraz przybliżoną wielkość zatrudnienia. To technika nazywana reverse IP lookup, znana w marketingu B2B od lat, tylko dziś opakowana w wygodny panel z integracją do Slacka albo HubSpota.

Różnica względem klasycznego trackingu użytkownika indywidualnego jest zasadnicza. System nie podaje imienia i nazwiska konkretnej osoby, tylko dane organizacji. Mimo to adres IP, zestawiony z numerem telefonu firmy czy danymi z rejestru CEIDG, w praktyce pozwala dotrzeć do konkretnego działu handlowego, a czasem wprost do osoby decyzyjnej. I tu zaczyna się prawnicza zagwozdka.

Czy adres IP firmy to w ogóle dane osobowe?

Tak, jeśli pozwala pośrednio zidentyfikować osobę fizyczną. RODO w motywie 30 wprost wymienia identyfikatory internetowe jako potencjalne dane osobowe. Adres IP przypisany do małej spółki z trzema pracownikami praktycznie zawsze prowadzi do konkretnej osoby. Adres IP wielkiej korporacji z tysiącem pracowników jest bardziej anonimowy, ale nigdy w stu procentach bezpieczny prawnie. Dlatego traktowanie tych danych jako w pełni neutralnych to błąd, który widziałem u kilku firm korzystających z Bazo bez żadnej konsultacji prawnej.

Czy korzystanie z Albacross lub Bazo jest zgodne z RODO?

Może być, pod warunkiem spełnienia dwóch rzeczy naraz. Po pierwsze, firma musi wskazać podstawę prawną przetwarzania z art. 6 RODO, najczęściej będzie to prawnie uzasadniony interes administratora. Po drugie, musi poinformować osoby, których dane dotyczą, zgodnie z art. 13 i 14 RODO. To drugie jest najczęściej pomijane, a właśnie za to UODO karał już polskie firmy.

Przypominam sobie głośną sprawę z 2019 roku, kiedy Prezes UODO nałożył na spółkę Bisnode Polska karę w wysokości niemal miliona złotych za to, że nie dopełniła obowiązku informacyjnego wobec osób, których dane pozyskała z rejestrów publicznych takich jak CEIDG (decyzja z marca 2019 roku). Mechanizm w Albacross i Bazo jest podobny w skutkach, bo dane trafiają do administratora bez wiedzy osoby, która akurat przegląda ofertę na stronie.

Jakie dane trafiają do systemu, gdy ktoś wejdzie na stronę firmową?

Zazwyczaj są to cztery elementy: adres IP, znacznik czasu wizyty, odwiedzane podstrony oraz dane firmy dopasowane z zewnętrznej bazy. Czasem dochodzi piąty, czyli dane z formularza kontaktowego, jeśli odwiedzający coś wypełni. Nie licz na to, że narzędzie samo zadba o zgodność z prawem za Ciebie. Ono zbiera dane. Zgodność to Twoja robota.

Czy potrzebuję zgody na cookies, żeby korzystać z Albacross albo Bazo?

W zdecydowanej większości przypadków tak, bo skrypty tych narzędzi zapisują identyfikatory w przeglądarce odwiedzającego, a to podlega art. 173 prawa telekomunikacyjnego, wdrażającemu unijną dyrektywę ePrivacy. Sam fakt, że identyfikujesz firmę, a nie osobę fizyczną z imienia i nazwiska, nie zwalnia Cię z obowiązku uzyskania zgody na przechowywanie informacji w urządzeniu końcowym użytkownika. Baner cookies musi więc obejmować kategorię narzędzi analityczno-marketingowych, a skrypt Albacross czy Bazo powinien ładować się dopiero po kliknięciu „akceptuję”, nie wcześniej.

Jak napisać politykę prywatności pod automatyczne pozyskiwanie leadów?

Polityka prywatności musi wprost wymieniać narzędzie z nazwy, cel przetwarzania oraz okres przechowywania danych. Napisanie ogólnikowego zdania w stylu „korzystamy z narzędzi analitycznych w celach marketingowych” to za mało. PUODO oczekuje konkretów. Trzeba podać, że korzystasz na przykład z Albacross, że dane trafiają do serwerów poza Europejskim Obszarem Gospodarczym (co akurat w przypadku Albacross wymaga sprawdzenia aktualnej lokalizacji centrów danych), oraz że podstawą prawną jest art. 6 ust. 1 lit. f RODO.

Dobrym pomysłem jest też dodanie w polityce prywatności informacji o prawie sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. To prawo z art. 21 RODO działa tu inaczej niż przy zgodzie, osoba może zgłosić sprzeciw w dowolnym momencie, a administrator musi przestać przetwarzać jej dane, chyba że wykaże ważne, prawnie uzasadnione podstawy nadrzędne wobec jej interesów.

Albacross czy Bazo, które narzędzie jest bezpieczniejsze pod kątem prawnym?

Żadne z nich nie jest z automatu bezpieczniejsze. To nie kwestia samego oprogramowania, tylko sposobu wdrożenia. Bazo, jako narzędzie rozwijane przez polski zespół, bywa prostsze w komunikacji przy pytaniach o lokalizację serwerów i zgodność z RODO, bo działa w tej samej jurysdykcji co Twoja firma. Albacross ma dłuższą historię na rynku europejskim i więcej gotowych materiałów o przetwarzaniu danych, ale komunikacja z supportem bywa wolniejsza, zwłaszcza po polsku.

A szczerze? Wybór narzędzia to piąty priorytet. Pierwszy to zgodność procesu wdrożenia z prawem. Bazo z błędnie skonfigurowanym banerem cookies jest tak samo ryzykowne jak Albacross bez polityki prywatności.

Czy mogę wysłać wiadomość do firmy, którą zidentyfikował Albacross albo Bazo?

Nie od razu. To chyba najczęstsze pytanie, jakie dostaję od klientów po wdrożeniu takich narzędzi. Sam fakt zidentyfikowania firmy jako odwiedzającego stronę nie daje prawa do wysłania e-maila marketingowego bez dodatkowej podstawy. Tu w grę wchodzi art. 10 ustawy o świadczeniu usług drogą elektroniczną oraz art. 172 prawa telekomunikacyjnego, które zabraniają przesyłania niezamówionej informacji handlowej bez zgody odbiorcy.

Co mówi art. 172 prawa telekomunikacyjnego o cold mailingu B2B?

Przepis dotyczy używania telekomunikacyjnych urządzeń końcowych do celów marketingu bezpośredniego i wymaga zgody abonenta lub użytkownika końcowego. W praktyce oznacza to, że e-mail na adres [email protected] z ofertą handlową, wysłany bez wcześniejszej zgody, formalnie narusza przepisy, nawet jeśli dotyczy relacji między dwiema firmami. Interpretacja UOKiK i PUODO bywa tu surowsza, niż zakładają handlowcy przyzwyczajeni do swobodnego cold mailingu sprzed kilku lat.

Czym jest prawnie uzasadniony interes i czy można się na niego powołać przy leadach?

Prawnie uzasadniony interes administratora pozwala przetwarzać dane bez zgody, ale tylko do momentu kontaktu. Można więc zidentyfikować firmę, zapisać ją w CRM, przeanalizować jej zachowanie na stronie. Nie można jednak automatycznie wysłać jej e-maila marketingowego na tej samej podstawie, bo do wysyłki komunikacji elektronicznej stosuje się odrębny, bardziej restrykcyjny reżim z ustawy o świadczeniu usług drogą elektroniczną. Dwie różne podstawy prawne, dwa różne progi ryzyka. Większość firm miesza je ze sobą i to jest błąd numer jeden.

Jest jednak legalna droga pośrednia, z której korzysta wielu moich klientów. Zidentyfikowaną firmę przekazuje się działowi handlowemu, który nawiązuje kontakt telefoniczny zamiast mailowego, bo cold calling B2B do numerów firmowych, niebędących numerami prywatnymi konsumenta, podlega łagodniejszym zasadom niż e-mail marketing. To nie jest obejście prawa, to po prostu wybór kanału, który ma inną podstawę regulacyjną.

Jakie kary grożą za nielegalne pozyskiwanie leadów przez Albacross lub Bazo?

RODO przewiduje kary do 20 milionów euro lub 4 procent globalnego rocznego obrotu, w zależności od tego, która wartość jest wyższa. W praktyce polskiego rynku kary nakładane na mniejsze firmy wahają się zwykle od kilku do kilkudziesięciu tysięcy złotych, choć zdarzały się decyzje znacznie wyższe wobec większych podmiotów. Z moich obserwacji u klientów, w zdecydowanej większości przypadków kontrola PUODO zaczyna się od skargi konkretnej osoby, która otrzymała e-mail marketingowy i zapytała, skąd nadawca ma jej dane firmowe. Nie mam na to twardych, ogólnopolskich statystyk z 2024 roku, bo chyba nikt takiego zestawienia jeszcze nie opublikował, ale ten schemat powtarza się u kolejnych firm, z którymi rozmawiałem.

Osobno trzeba liczyć się z odpowiedzialnością na gruncie ustawy o świadczeniu usług drogą elektroniczną, gdzie kara może sięgnąć 10 tysięcy złotych za każde naruszenie zakazu przesyłania niezamówionej informacji handlowej. Przy automatyzacji, gdzie system wysyła dziesiątki wiadomości dziennie, suma rośnie szybko.

Jak wdrożyć automatyczne pozyskiwanie leadów krok po kroku, bez łamania prawa?

Opiszę to tak, jak robiłem to ostatnio u klienta z branży logistycznej. Najpierw wdrożyliśmy skrypt Bazo przez Google Tag Managera, ale ustawiliśmy go tak, by uruchamiał się dopiero po akceptacji kategorii „marketing” w banerze cookies zbudowanym na Cookiebocie. Potem zaktualizowaliśmy politykę prywatności, dodając osobny akapit opisujący dokładnie to narzędzie, zakres zbieranych danych i okres ich przechowywania, który ustaliliśmy na 12 miesięcy.

Trzeci krok był najważniejszy z perspektywy ryzyka prawnego. Zablokowaliśmy automatyczną wysyłkę e-maili do zidentyfikowanych firm. Zamiast tego dane trafiały do arkusza, który codziennie przeglądał handlowiec i sam decydował, czy zadzwonić, czy poczekać na kolejną wizytę tej samej firmy na stronie. Prostsze niż automatyzacja mailingu? Owszem. Bezpieczniejsze? Zdecydowanie.

Na koniec dodaliśmy rejestr czynności przetwarzania, wymagany przez art. 30 RODO, z osobną pozycją dotyczącą identyfikacji firm odwiedzających stronę. To dokument, o którym zapomina prawie każda mała firma, a który jest pierwszą rzeczą, o którą pyta kontroler podczas wizyty.

Czy warto konsultować wdrożenie z prawnikiem, zanim uruchomię Albacross?

Tak, i to zanim podpiszesz umowę z dostawcą, nie po. Koszt godzinnej konsultacji z prawnikiem specjalizującym się w ochronie danych to zwykle ułamek potencjalnej kary. Znam firmy, które wydały na taką konsultację mniej niż na miesięczny abonament samego narzędzia, a uniknęły poważnego ryzyka.

Jakie dane powinna zawierać umowa powierzenia przetwarzania danych z Albacross lub Bazo?

Skoro Albacross czy Bazo przetwarzają dane w Twoim imieniu, stajesz się administratorem, a dostawca narzędzia procesorem w rozumieniu art. 28 RODO. Umowa powierzenia powinna określać cztery rzeczy: zakres i cel przetwarzania, czas trwania umowy, obowiązek zgłaszania naruszeń ochrony danych w ciągu 72 godzin oraz zasady podpowierzenia danych dalszym podwykonawcom, jeśli tacy w ogóle istnieją w łańcuchu dostawcy. Bez podpisanej umowy powierzenia (DPA, data processing agreement) całe wdrożenie stoi na bardzo kruchych nogach, niezależnie od tego, jak starannie przygotowałeś resztę dokumentacji.

Sprawdź też, czy dostawca oferuje standardowe klauzule umowne przy transferze danych poza Europejski Obszar Gospodarczy. Po wyroku Trybunału Sprawiedliwości UE w sprawie Schrems II temat transferu danych do USA przestał być formalnością, a stał się realnym punktem kontroli ze strony organów nadzorczych.

Czy automatyczne leady z Albacross lub Bazo da się wykorzystać bez żadnego ryzyka prawnego?

Zera ryzyka nie ma nigdzie w marketingu opartym na danych. Można je jednak sprowadzić do poziomu akceptowalnego, stosując zasadę minimalizacji. Zbieraj tylko te dane, które realnie wykorzystasz. Nie przechowuj ich dłużej, niż potrzebujesz. Nie automatyzuj wysyłki wiadomości na podstawie samej identyfikacji firmy. Te trzy zasady, konsekwentnie wdrożone, zdejmują ze stołu większość ryzyka, z jakim się spotkałem przy audytach podobnych wdrożeń.

Krótko mówiąc: narzędzie samo w sobie nie jest ani legalne, ani nielegalne. Legalny albo nielegalny jest sposób, w jaki z niego korzystasz.

Co dalej z Twoim wdrożeniem?

Sprawdź dziś, zanim zamkniesz tę stronę, czy skrypt Albacross albo Bazo na Twojej witrynie ładuje się przed kliknięciem w baner cookies, czy po. Otwórz narzędzia deweloperskie w przeglądarce, zakładkę Network, odśwież stronę bez akceptowania żadnej zgody i zobacz, czy w logach pojawia się połączenie z domeną dostawcy. Jeśli tak, masz problem już dziś, nie za rok, kiedy ktoś złoży skargę do PUODO. Popraw to, zanim przeczytasz kolejny artykuł o automatyzacji sprzedaży.

Pytania i odpowiedzi

• Czy Albacross jest zgodny z RODO? Może być, jeśli firma wskaże podstawę prawną, zaktualizuje politykę prywatności i uruchamia skrypt dopiero po zgodzie na cookies marketingowe.
• Czy Bazo wymaga zgody na cookies? Tak, bo zapisuje identyfikatory w przeglądarce, co podlega art. 173 prawa telekomunikacyjnego.
• Czy mogę wysłać e-mail do firmy zidentyfikowanej przez Albacross? Nie bez dodatkowej zgody, bo identyfikacja i wysyłka marketingowa to dwie różne podstawy prawne.
• Jakie kary grożą za nielegalne pozyskiwanie leadów? Do 20 milionów euro z RODO oraz do 10 tysięcy złotych za każde naruszenie z ustawy o świadczeniu usług drogą elektroniczną.
• Czy potrzebuję umowy powierzenia z dostawcą narzędzia? Tak, zgodnie z art. 28 RODO.
• Czy adres IP firmy to dane osobowe? Często tak, zwłaszcza w przypadku małych firm, gdzie IP wprost prowadzi do konkretnej osoby.

Bibliografia

1. Urząd Ochrony Danych Osobowych – https://uodo.gov.pl
2. Komisja Europejska – https://commission.europa.eu
3. Urząd Ochrony Konkurencji i Konsumentów – https://uokik.gov.pl
4. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
5. Sejm Rzeczypospolitej Polskiej – https://www.sejm.gov.pl
6. Dziennik Ustaw – https://dziennikustaw.gov.pl