Baza leadów: kupować gotową czy generować własną?

Gotowa „baza leadów” obiecuje szybki start: płacisz za plik lub dostęp do platformy i od razu masz tysiące firm, nazwisk, adresów e-mail albo numerów telefonu. Problem zaczyna się od samej nazwy. Lista kontaktów nie jest jeszcze listą osób zainteresowanych ofertą, a tym bardziej listą leadów gotowych do sprzedaży.

Zakup danych może mieć uzasadnienie, na przykład przy analizie rynku, wzbogacaniu informacji o firmach albo pozyskiwaniu na bieżąco zapytań od partnera. Nie oznacza to jednak automatycznego prawa do wysyłania ofert. Trzeba osobno sprawdzić jakość i pochodzenie danych, podstawę ich przetwarzania oraz zgodę na użycie konkretnego kanału do marketingu.

Ten artykuł pokazuje, jak podjąć tę decyzję bez skrótu „kupione złe, własne dobre”. Stan prawny opisujemy według zasad obowiązujących w Polsce w lipcu 2026 roku. Materiał ma charakter edukacyjny, a nie porady prawnej.

W skrócie

• Baza kontaktów nie jest bazą leadów. Kontakt staje się leadem dopiero według jasno ustalonej definicji, na przykład po zgłoszeniu potrzeby albo spełnieniu warunków kwalifikacji.
• Zakup danych nie przenosi automatycznie zgody na e-mail, telefon lub inny kanał marketingowy.
• W Polsce trzeba rozdzielić podstawę przetwarzania danych osobowych z RODO od uprzedniej zgody na komunikację marketingową wymaganej przez art. 398 Prawa komunikacji elektronicznej.
• PKE chroni abonenta lub użytkownika końcowego także w relacjach B2B. Sam służbowy adres albo publiczna wizytówka nie oznaczają zgody na ofertę.
• Przy danych pozyskanych od innego podmiotu mogą powstać obowiązki informacyjne z art. 14 RODO, w tym podanie źródła i kategorii danych.
• Dostawca powinien udowodnić pochodzenie, aktualność i zakres zgód dla konkretnego celu, kanału i odbiorcy danych.
• Ekonomikę licz do kwalifikowanej szansy i klienta, uwzględniając zakup danych, weryfikację, systemy, obsługę sprzedaży oraz odrzucone rekordy.
• Własne pozyskiwanie zwykle daje lepszy kontekst i kontrolę, ale również wymaga prawidłowych zgód, definicji leada, CRM i szybkiej obsługi.

Kontakt, subskrybent i lead to trzy różne rzeczy

W raportach te pojęcia bywają używane zamiennie, choć oznaczają inne sytuacje.

Plik zawierający 10 000 adresów może być bazą danych, ale nie ma podstaw, by nazywać go 10 000 leadów. Taka etykieta zawyża oczekiwania i utrudnia późniejsze rozliczenie dostawcy.

Przed zakupem zapisz więc definicję jednostki, za którą płacisz. Czy jest nią rekord, poprawny adres, osoba z określonej roli, kontakt z udokumentowaną zgodą, zapytanie czy lead przyjęty przez sprzedaż?

Czy można kupić bazę kontaktów i wysyłać do niej oferty?

Nie da się odpowiedzieć jednym „tak” albo „nie” bez zbadania źródła, danych, celu i kanału. Najważniejsze jest rozdzielenie dwóch warstw prawa.

Warstwa 1: czy wolno przetwarzać dane osobowe?

RODO dotyczy informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Imię, nazwisko, bezpośredni służbowy e-mail i numer telefonu mogą być danymi osobowymi. Ogólny adres typu biuro@firma.pl może nie identyfikować osoby, ale nie rozwiązuje to automatycznie wymogów dotyczących komunikacji elektronicznej.

Administrator musi ustalić między innymi:

• cel i podstawę prawną przetwarzania;
• zgodność nowego celu z warunkami, w których dane zebrano;
• minimalny zakres i aktualność danych;
• czas przechowywania;
• sposób realizacji praw osoby;
• role sprzedawcy i kupującego oraz zasady udostępnienia danych.

Motyw 47 RODO wskazuje, że marketing bezpośredni może być rozważany jako prawnie uzasadniony interes. Nie jest to jednak automatyczne pozwolenie na każdą operację. Wymaga oceny celu, niezbędności oraz praw i rozsądnych oczekiwań osoby. Co ważniejsze, podstawa przetwarzania danych nie zastępuje zgody wymaganej do użycia e-maila lub telefonu w celach marketingowych.

Warstwa 2: czy wolno użyć danego kanału do marketingu?

Od 10 listopada 2024 roku kluczowy jest art. 398 Prawa komunikacji elektronicznej. Zakazuje on używania automatycznych systemów wywołujących i telekomunikacyjnych urządzeń końcowych, w szczególności usług komunikacji interpersonalnej, do przesyłania informacji handlowej, w tym marketingu bezpośredniego, jeżeli abonent lub użytkownik końcowy nie wyraził uprzednio zgody.

W praktyce oznacza to, że:

• zgoda ma istnieć przed marketingowym e-mailem, telefonem czy wiadomością;
• dotyczy to także komunikacji B2B, a nie wyłącznie konsumentów;
• opublikowanie adresu na stronie lub w katalogu nie oznacza samo przez się zgody na ofertę;
• podanie adresu do realizacji umowy, rekrutacji lub obsługi nie oznacza zgody marketingowej;
• możliwość rezygnacji po pierwszej wiadomości nie naprawia braku uprzedniej zgody;
• wiadomość wysłana po to, aby dopiero zapytać o zgodę, sama może zostać uznana za komunikację marketingową — takiego mechanizmu nie należy traktować jako bezpiecznego obejścia.

Art. 398 ust. 2 dopuszcza wyrażenie zgody przez udostępnienie adresu elektronicznego w celu otrzymywania informacji handlowej na ten adres. Kluczowy jest więc udokumentowany cel, a nie sam fakt posiadania adresu.

Prawo do sprzeciwu i wycofania zgody

Jeśli dane osobowe są przetwarzane do marketingu bezpośredniego, osoba może w dowolnym momencie wnieść sprzeciw. Po takim sprzeciwie danych nie wolno dalej używać do tego celu. Gdy komunikacja opiera się na zgodzie, trzeba również umożliwić jej równie łatwe wycofanie.

W praktyce potrzebna jest centralna lista wykluczeń obejmująca wszystkie systemy, dostawców i zespoły. Usunięcie rekordu z jednej kampanii nie wystarczy, jeśli za tydzień zostanie ponownie zaimportowany z kupionej paczki.

Obowiązek informacyjny przy danych z zewnętrznego źródła

Jeżeli dane osobowe nie pochodzą bezpośrednio od danej osoby, zastosowanie może mieć art. 14 RODO. Informację należy przekazać w terminie przewidzianym przez przepisy — co do zasady najpóźniej w ciągu miesiąca, przy pierwszej komunikacji albo przed pierwszym ujawnieniem danych, zależnie od tego, co nastąpi wcześniej.

Informacja obejmuje między innymi:

• tożsamość i dane kontaktowe administratora;
• cel oraz podstawę przetwarzania;
• kategorie danych;
• źródło danych, również informację, czy pochodziły ze źródła publicznego;
• odbiorców lub ich kategorie;
• okres przechowywania albo zasady jego ustalania;
• prawa osoby, w tym sprzeciw wobec marketingu;
• informacje o transferach i zautomatyzowanym podejmowaniu decyzji, jeśli mają zastosowanie.

RODO przewiduje określone wyjątki od obowiązku informacyjnego, ale nie powinno się zakładać ich bez udokumentowanej analizy. Stwierdzenie dostawcy „dane są publiczne, więc RODO nie obowiązuje” jest sygnałem ostrzegawczym.

Due diligence przed zakupem bazy

Nie kupuj najpierw, aby pytania zadać później. Poproś dostawcę o dowody przed przekazaniem danych lub pieniędzy.

1. Ustal, co jest przedmiotem transakcji

• jednorazowy plik, dostęp do narzędzia czy leady generowane na bieżąco;
• dane firmowe czy dane konkretnych osób;
• rekord, adres zweryfikowany technicznie, zgoda czy zapytanie;
• dane do analizy, wzbogacenia CRM czy komunikacji marketingowej;
• sprzedaż danych między niezależnymi administratorami czy przetwarzanie na zlecenie.

Umowa powierzenia przetwarzania nie jest automatycznie właściwa tylko dlatego, że w transakcji występują dane. Role stron trzeba ustalić według ich rzeczywistego wpływu na cele i sposoby przetwarzania.

2. Zażądaj udokumentowanego pochodzenia

Sprawdź:

• skąd pochodzi każdy typ danych;
• kiedy i w jaki sposób został zebrany;
• jaka informacja została pokazana osobie;
• kto był wskazany jako odbiorca lub kategoria odbiorców;
• czy zgoda obejmowała przekazanie danych innym podmiotom na ich własny marketing;
• jaki cel, marka i kanał komunikacji zostały wskazane;
• czy można przedstawić treść oraz wersję zgody wraz z czasem i źródłem jej uzyskania.

Ogólna deklaracja „zgodne z RODO” nie jest dowodem. Komisja Europejska wskazuje, że przed nabyciem listy dostawca powinien być w stanie wykazać zgodne pozyskanie danych i możliwość ich użycia do reklamy. Jeżeli podstawą była zgoda, musi ona obejmować odpowiednie udostępnienie innym odbiorcom.

3. Oceń aktualność i jakość

Zapytaj o:

• datę ostatniej weryfikacji;
• źródła aktualizacji;
• usuwanie duplikatów i nieaktywnych rekordów;
• sposób obsługi sprzeciwów i wycofanych zgód;
• listy wykluczeń oraz przekazywanie zmian między stronami;
• zasady reklamacji błędnych danych;
• próbkę pozwalającą ocenić dopasowanie bez nieuprawnionego użycia marketingowego.

Firma, stanowisko, numer i właściciel skrzynki zmieniają się. Duży wolumen bez daty aktualizacji jest niewiele wart.

4. Ustal odpowiedzialność i audyt

Umowa powinna opisywać co najmniej:

• specyfikację danych lub leada;
• dozwolone cele i ograniczenia użycia;
• oświadczenia oraz dowody dotyczące legalności źródła;
• sposób przekazywania sprzeciwów i żądań osób;
• bezpieczeństwo, retencję i usunięcie danych;
• zasady reklamacji, korekt i rozwiązania umowy;
• możliwość kontroli dowodów, a nie tylko otrzymania zapewnienia handlowego.

Taką umowę i podstawę operacji powinien ocenić prawnik lub inspektor ochrony danych znający konkretny model.

Kupiona baza a dostarczalność e-maili

Nie każda wiadomość do danych z zewnętrznego źródła automatycznie zniszczy reputację domeny. Ryzyko rośnie jednak, gdy odbiorcy nie oczekują komunikacji, adresy są stare, a ta sama lista krąży między wieloma nadawcami.

Skutkami mogą być:

• twarde odbicia z nieistniejących adresów;
• trafienia w adresy-pułapki lub konta nieaktywne;
• skargi „spam” od zaskoczonych odbiorców;
• blokowanie nadawcy i wypisy;
• ograniczenie tempa dostarczania lub odrzucenia;
• pogorszenie reputacji domeny i infrastruktury wysyłkowej.

Gmail wprost zaleca, aby nie kupować adresów e-mail i nie wysyłać do osób, które nie zapisały się na komunikację. Wymaga też uwierzytelnienia, niskiego wskaźnika skarg oraz — dla odpowiednich wiadomości marketingowych i subskrypcyjnych — łatwej rezygnacji.

SPF, DKIM i DMARC potwierdzają techniczną tożsamość nadawcy. Nie tworzą zgody i nie sprawiają, że nieoczekiwana wiadomość staje się pożądana. Osobna domena wysyłkowa może ograniczyć część wpływu operacyjnego, ale nie usuwa odpowiedzialności prawnej ani ryzyka dla marki.

Jak policzyć rzeczywisty koszt kupionej bazy

Cena za rekord jest najłatwiejszą i najmniej użyteczną miarą.

Śledź kolejno:

kupione rekordy
→ aktualne i poprawne dane
→ kontakty z właściwą podstawą i zgodą na kanał
→ skutecznie dostarczona komunikacja
→ odpowiedzi lub zgłoszenia
→ leady przyjęte przez sprzedaż
→ szanse
→ klienci
→ marża lub kontrybucja

Pełny koszt obejmuje:

zakup danych + weryfikację prawną i jakościową + narzędzia + przygotowanie komunikacji + pracę sprzedaży + obsługę sprzeciwów i reklamacji

Następnie licz koszt kwalifikowanego leada, szansy i klienta. Jeśli firma zapłaciła 10 000 zł za dane i obsługę, a uzyskała dwóch nowych klientów, miarą decyzyjną nie jest liczba rekordów, lecz pełny koszt oraz kontrybucja tych klientów.

Nie porównuj tego kosztu z CPL kampanii bez ujednolicenia zakresu. CPL reklamowy może obejmować tylko media, podczas gdy koszt kupionej bazy bywa raportowany bez pracy handlowców i systemów.

Kiedy zewnętrzne dane mogą mieć sens

Zewnętrzne dane nie muszą służyć do natychmiastowego wysyłania ofert. Mogą wspierać:

• analizę wielkości rynku i segmentów;
• identyfikację firm spełniających ICP;
• uzupełnianie brakujących danych w CRM, jeśli istnieje właściwa podstawa i cel;
• planowanie terytoriów sprzedaży;
• weryfikację danych podanych przez klienta;
• kampanie do odbiorców, którzy udzielili udokumentowanej zgody obejmującej daną markę, cel i kanał;
• model partnerski, w którym zapytanie jest generowane na bieżąco i przekazywane zgodnie z informacją oraz zgodą przedstawioną użytkownikowi.

Ostatni model nie powinien opierać się na ukrytej liście kilkudziesięciu „partnerów”. Osoba ma rozumieć, kto będzie się kontaktował i w jakim celu. Dostawca leada powinien przekazać wraz z nim dowód źródła, treść zgody, czas oraz identyfikator formularza lub kampanii.

Jak generować własną bazę

Własna baza nie jest dobra tylko dlatego, że firma zebrała ją samodzielnie. Jej przewagą jest możliwość zaprojektowania kontekstu, zgody, danych i dalszej obsługi od początku.

Dobierz sposób pozyskania do intencji

• zapytanie, wycena, demo lub rezerwacja — dla osób blisko decyzji;
• kalkulator, konfigurator lub ocena potrzeb — gdy odbiorca musi najpierw zrozumieć wariant rozwiązania;
• webinar, raport lub narzędzie — gdy wartość edukacyjna naturalnie poprzedza zakup;
• subskrypcja — dla odbiorców, którzy chcą regularnej komunikacji o jasno opisanej tematyce;
• partnerstwo lub polecenie — z przejrzystymi zasadami przekazania danych i kontaktu.

Zbieraj tylko potrzebne dane

Formularz powinien zawierać pola niezbędne do dostarczenia obiecanej wartości, kwalifikacji i następnego kroku. Więcej pól nie gwarantuje jakości; może po prostu zwiększyć tarcie albo skłonić do podawania przypadkowych danych.

Oddziel zgłoszenie dotyczące konkretnej usługi od zapisu na dalszy marketing, jeśli są to różne cele. Jasno opisz, kto odpowie, jakim kanałem i czego odbiorca może oczekiwać.

Połącz źródło z wynikiem

W CRM zapisuj:

• źródło, kampanię i ofertę;
• treść oraz wersję zgody;
• datę i metodę pozyskania;
• status poprawności i kontaktu;
• kwalifikację oraz powód odrzucenia;
• szansę, sprzedaż, wartość i marżę;
• sprzeciw, wycofanie zgody i wykluczenie.

Dopiero wtedy można porównać źródła według jakości i ekonomiki zamiast liczby formularzy.

Kupować czy generować? Drzewo decyzji

Jeżeli którykolwiek z pierwszych pięciu warunków pozostaje nieudokumentowany, problemu nie rozwiąże lepsza treść wiadomości.

Jak podchodzimy do tego w Space Ads

Nie zaczynamy od pytania „ile kontaktów możemy kupić?”, lecz od wyniku, definicji leada i dopuszczalnej ścieżki kontaktu.

Proces wygląda następująco:

1. definiujemy odbiorcę, wartościowe zgłoszenie i etap rozliczany jako wynik;
2. mapujemy źródło danych, podstawę przetwarzania, zgodę na kanał i obowiązki informacyjne;
3. sprawdzamy, które dane są rzeczywiście potrzebne do kwalifikacji;
4. projektujemy ofertę, formularz lub model partnerski, który jasno ustawia oczekiwania;
5. zapisujemy źródło, zgodę i status w CRM;
6. przekazujemy lead do właściwej osoby i mierzymy obsługę;
7. oceniamy koszt kwalifikowanego leada, klienta i kontrybucję;
8. skalujemy tylko źródła, które zachowują jakość i zgodność procesu.

To część usługi generowanie leadów, w której reklama, landing page, kwalifikacja, routing oraz dane sprzedażowe tworzą jeden system.

Najczęstsze błędy

Najczęstsze pytania

Czy kupowanie bazy leadów jest legalne?

Sam zakup danych nie przesądza jeszcze o legalności ich dalszego użycia. Trzeba zbadać pochodzenie, podstawę przetwarzania, obowiązki informacyjne i zgodę na konkretny kanał marketingowy. Jeżeli dostawca nie potrafi tego udokumentować, nie należy zakładać, że plik można wykorzystać do ofert.

Czy można wysyłać oferty na firmowe adresy e-mail bez zgody?

Nie należy zakładać takiego wyjątku. Art. 398 PKE wymaga uprzedniej zgody abonenta lub użytkownika końcowego na wykorzystanie odpowiednich środków do informacji handlowej i marketingu bezpośredniego, również w B2B. Publicznie dostępny albo służbowy adres sam w sobie nie jest zgodą.

Czy prawnie uzasadniony interes z RODO wystarczy do cold mailingu?

Nie rozstrzyga wymogów kanału. Uzasadniony interes może być rozważany jako podstawa określonego przetwarzania danych, ale nie zastępuje uprzedniej zgody wymaganej przez art. 398 PKE do komunikacji marketingowej. Obie warstwy trzeba ocenić osobno.

Czy można najpierw napisać z pytaniem o zgodę na przesłanie oferty?

To ryzykowne podejście, ponieważ sama wiadomość może mieć marketingowy cel i korzysta już z kanału, na który zgody brakuje. Nie należy budować procesu na założeniu, że „pytanie o zgodę” zawsze znajduje się poza zakazem.

Czy lista samych nazw firm podlega RODO?

RODO chroni dane osób fizycznych. Sama nazwa spółki bez informacji identyfikującej człowieka może nie być daną osobową. Gdy lista zawiera nazwisko, bezpośredni e-mail, numer albo inne informacje pozwalające zidentyfikować osobę, RODO może mieć zastosowanie. Niezależnie trzeba sprawdzić zasady PKE dotyczące abonenta lub użytkownika końcowego.

Jak ocenić dostawcę leadów?

Poproś o definicję płatnego leada, źródło, datę, formularz, informację pokazaną użytkownikowi, treść i zakres zgody, identyfikator jej pozyskania, zasady wykluczeń, kwalifikację oraz reklamację. Następnie porównaj dane dostawcy ze statusami w swoim CRM.

Czy własne leady zawsze są lepsze?

Nie automatycznie. Własny formularz może generować przypadkowe, fałszywe lub źle obsłużone zgłoszenia. Przewagą własnego procesu jest kontrola nad ofertą, zgodą, pytaniami, źródłem i pomiarem. Jakość trzeba potwierdzić konwersją do kwalifikacji, sprzedaży i kontrybucji.

Czy kupiona baza zawsze szkodzi dostarczalności?

Nie każdy import powoduje natychmiastowy problem, ale nieoczekiwana komunikacja, nieaktualne adresy, odbicia i skargi podnoszą ryzyko blokad oraz pogorszenia reputacji. Gmail w swoich wytycznych wprost odradza kupowanie adresów i wysyłkę do osób, które się nie zapisały.

Najważniejsze wnioski

• Kupiona lista rekordów nie jest automatycznie bazą leadów.
• Prawo do przetwarzania danych i zgoda na kanał marketingowy to dwa osobne testy.
• Art. 398 PKE wymaga uprzedniej zgody także w komunikacji B2B.
• Dostawca powinien udowodnić źródło, zakres zgody, aktualność i możliwość przekazania danych.
• Obowiązek informacyjny, sprzeciwy i wykluczenia muszą działać w praktyce, nie tylko w polityce prywatności.
• O wyborze źródła powinny decydować koszt klienta, kontrybucja, jakość i zgodność procesu — nie liczba rekordów.

Źródła

• ELI / Dziennik Ustaw — Prawo komunikacji elektronicznej
• Komisja Europejska — Czy dane otrzymane od osoby trzeciej można wykorzystywać do marketingu?
• Komisja Europejska — Informacje wymagane przy pozyskiwaniu danych
• Komisja Europejska — Sprzeciw wobec przetwarzania danych
• Gmail Help — Wytyczne dla nadawców poczty e-mail

Czytaj dalej

• Lead generation: jak pozyskiwać wartościowe leady
• Leady sprzedażowe: jakość i handoff do sprzedaży
• Kwalifikacja leadów: MQL, SQL i lead scoring
• Dostarczalność e-mail: dlaczego wiadomości trafiają do spamu