Dzwoni obcy numer. Konsultant zna Twoje imię, czasem miasto, czasem nazwę firmy, w której pracujesz. Na pytanie „skąd macie mój numer?” pada klasyk: „z bazy”, „od partnera”, „z publicznych źródeł” albo „system tak pokazuje”. Taka odpowiedź nie zamyka sprawy.
Jeżeli numer telefonu pozwala zidentyfikować konkretną osobę, wchodzi w grę RODO. Masz prawo zapytać firmę, czy przetwarza Twoje dane, w jakim celu, na jakiej podstawie i — co w tym przypadku najważniejsze — jakie ma informacje o źródle pochodzenia danych. RODO definiuje dane osobowe szeroko: jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
Najpierw ustal, kto naprawdę dzwoni i zbierz dowody
Największy błąd po takim telefonie to kłótnia z konsultantem przez pięć minut i rozłączenie się bez żadnych konkretów. Emocjonalnie daje ulgę. Dowodowo — prawie nic.
Priorytet jest prosty: ustalić administratora danych. Nie zawsze jest nim firma, której nazwę słyszysz w pierwszym zdaniu rozmowy. Często dzwoni zewnętrzne call center, agencja sprzedażowa albo pośrednik działający „w imieniu” innego podmiotu. Dlatego podczas rozmowy zapytaj krótko:
- jaka jest pełna nazwa firmy, która jest administratorem danych;
- jaki jest adres e-mail do spraw RODO albo do inspektora ochrony danych;
- w imieniu jakiej marki lub spółki wykonywany jest telefon;
- skąd pochodzi numer telefonu;
- na jakiej podstawie firma twierdzi, że może dzwonić z ofertą;
- kiedy i w jaki sposób miała zostać udzielona zgoda na kontakt.
Nie podawaj przy tym PESEL-u, numeru dowodu ani kodów z SMS-a. Przy prostym pytaniu o źródło numeru zwykle wystarczy wskazać: numer telefonu, datę i godzinę połączenia, ewentualnie imię i nazwisko, jeżeli firma już je zna. Administrator może poprosić o dodatkowe informacje tylko wtedy, gdy ma uzasadnione wątpliwości co do tożsamości osoby składającej żądanie.
Po rozmowie zrób notatkę. Brzmi banalnie, ale przy skardze różnica między „ktoś do mnie dzwonił” a „12 marca o 14:37 numer +48…, konsultant podał nazwę X i oferował fotowoltaikę” jest ogromna. Zanotuj:
- numer, z którego dzwoniono;
- datę i godzinę;
- nazwę firmy lub marki;
- produkt albo usługę;
- odpowiedź na pytanie o źródło danych;
- informację, czy proszono Cię o zgodę, czy już przedstawiano ofertę.
Osobna sprawa to marketing telefoniczny. Od 10 listopada 2024 r. podstawową regulacją dla takich kontaktów jest art. 398 Prawa komunikacji elektronicznej. Przepis zakazuje używania automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy wcześniej wyraził zgodę.
To oznacza dwie warstwy sprawy. RODO odpowiada na pytanie: „dlaczego i skąd firma ma moje dane?”. Prawo komunikacji elektronicznej odpowiada na pytanie: „czy firma mogła użyć telefonu do marketingu?”. Firma może próbować mieszać te porządki, ale Ty nie musisz. W mailu pytasz o jedno i drugie.
Wniosek z RODO: jak zapytać o źródło numeru i czego żądać
Najskuteczniejszy mail nie jest długi. Jest precyzyjny. Nie pisz ogólnego „proszę usunąć moje dane, bo RODO”. Taki mail często kończy się lakonicznym potwierdzeniem usunięcia, a Ty nadal nie wiesz, skąd numer trafił do bazy.
Lepiej złożyć wniosek o dostęp do danych z art. 15 RODO i od razu zapytać o źródło danych. RODO daje prawo do uzyskania potwierdzenia, czy dane są przetwarzane, dostępu do nich oraz informacji m.in. o celach, kategoriach danych, odbiorcach, okresie przechowywania i — jeżeli danych nie zebrano od Ciebie — wszelkich dostępnych informacji o ich źródle.
Firma, która pozyskała dane z innego źródła niż bezpośrednio od Ciebie, ma też obowiązek informacyjny z art. 14 RODO. Powinna podać m.in. źródło pochodzenia danych, a gdy ma to zastosowanie — informację, czy dane pochodzą ze źródeł publicznie dostępnych. Jeżeli dane mają służyć komunikacji z Tobą, informacja powinna trafić najpóźniej przy pierwszej takiej komunikacji.
Szablon 1: pierwszy mail z pytaniem o źródło numeru
Temat: Wniosek RODO — źródło pozyskania mojego numeru telefonu
Dzień dobry,
w dniu [DATA] o godz. [GODZINA] otrzymałem/otrzymałam połączenie z numeru [NUMER DZWONIĄCY] dotyczące [KRÓTKO: np. oferty fotowoltaiki, pożyczki, ubezpieczenia]. Kontakt dotyczył mojego numeru telefonu: [TWÓJ NUMER].
Na podstawie art. 15 RODO wnoszę o potwierdzenie, czy przetwarzają Państwo moje dane osobowe, w szczególności numer telefonu [TWÓJ NUMER], a jeżeli tak — proszę o przekazanie następujących informacji:
- jakie dokładnie moje dane Państwo przetwarzają;
- skąd pozyskali Państwo mój numer telefonu, w tym proszę o wskazanie konkretnego źródła, daty pozyskania danych oraz podmiotu, który przekazał dane, jeżeli dane pochodziły od strony trzeciej;
- czy dane pochodzą ze źródeł publicznie dostępnych, a jeżeli tak — z jakiego konkretnego źródła;
- w jakim celu dane są przetwarzane;
- jaka jest podstawa prawna przetwarzania danych;
- komu dane zostały ujawnione lub komu planują je Państwo ujawnić;
- przez jaki okres dane będą przechowywane albo według jakich kryteriów ustalają Państwo ten okres;
- czy wobec moich danych stosowane jest profilowanie lub zautomatyzowane podejmowanie decyzji;
- jeżeli powołują się Państwo na zgodę na kontakt marketingowy — proszę o wskazanie daty, sposobu, treści i zakresu tej zgody oraz podmiotu, któremu miała zostać udzielona.
Wnoszę również sprzeciw wobec przetwarzania moich danych na potrzeby marketingu bezpośredniego i proszę o zaprzestanie kontaktu marketingowego na numer [TWÓJ NUMER].
Proszę o odpowiedź drogą mailową.
[IMIĘ I NAZWISKO]
[NUMER TELEFONU, którego dotyczy sprawa]
Ten wzór ma jedną zaletę: nie prosi tylko o „usunięcie”. Najpierw wymusza odpowiedź na pytanie, skąd firma ma numer. Dopiero potem blokuje dalszy marketing. Przy marketingu bezpośrednim sprzeciw działa mocno: po jego wniesieniu danych nie wolno już przetwarzać do takich celów.
Firma ma odpowiedzieć bez zbędnej zwłoki, najpóźniej w terminie miesiąca od otrzymania żądania. Przy skomplikowanej sprawie albo dużej liczbie żądań może przedłużyć termin maksymalnie o kolejne dwa miesiące, ale musi poinformować o tym w pierwszym miesiącu i podać powody opóźnienia. Co do zasady realizacja takich praw jest bezpłatna; opłata wchodzi w grę przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych.
Szablon 2: gdy firma odpowiada ogólnikiem
Temat: Uzupełnienie odpowiedzi na wniosek RODO — źródło danych
Dzień dobry,
dziękuję za odpowiedź z dnia [DATA], jednak nie zawiera ona konkretnych informacji o źródle pozyskania mojego numeru telefonu. Informacja typu „baza marketingowa”, „partnerzy handlowi”, „źródła publiczne” albo „legalnie pozyskane dane” nie pozwala ustalić faktycznego pochodzenia danych.
Proszę o uzupełnienie odpowiedzi i wskazanie wszelkich dostępnych Państwu informacji o źródle mojego numeru telefonu, w szczególności:
- nazwy podmiotu, od którego otrzymali Państwo dane;
- daty pozyskania danych;
- pierwotnego źródła danych, jeżeli jest Państwu znane;
- podstawy prawnej przekazania danych;
- treści zgody lub innej podstawy, na którą się Państwo powołują;
- informacji, czy mój numer został pozyskany z publicznego rejestru, strony internetowej, formularza, konkursu, porównywarki, serwisu partnerskiego czy zakupionej bazy.
Podtrzymuję sprzeciw wobec przetwarzania moich danych do celów marketingu bezpośredniego.
Proszę o uzupełnienie odpowiedzi w ramach terminu wynikającego z art. 12 RODO.
[IMIĘ I NAZWISKO]
Tu trzeba uważać na jedną rzecz: RODO mówi o wszelkich dostępnych informacjach o źródle, a nie o obowiązku odtworzenia całej historii danych, której firma faktycznie nie posiada. To nie jest magiczne narzędzie śledcze. Ale jeżeli firma kupiła lead od konkretnego brokera, pobrała dane z formularza albo dostała je od partnera kampanii, ogólnik „z legalnych źródeł” jest słabą odpowiedzią.
Szablon 3: krótki mail po kolejnym telefonie mimo sprzeciwu
Temat: Ponowny kontakt marketingowy mimo sprzeciwu
Dzień dobry,
w dniu [DATA] o godz. [GODZINA] ponownie otrzymałem/otrzymałam połączenie marketingowe z numeru [NUMER], mimo że w dniu [DATA SPRZECIWU] wniosłem/wniosłam sprzeciw wobec przetwarzania moich danych do celów marketingu bezpośredniego.
Żądam natychmiastowego zaprzestania kontaktu marketingowego na numer [TWÓJ NUMER] oraz potwierdzenia, jakie działania podjęto, aby numer nie był dalej wykorzystywany w kampaniach telefonicznych.
Proszę również o wskazanie, dlaczego doszło do kolejnego kontaktu po wniesieniu sprzeciwu.
[IMIĘ I NAZWISKO]
Praktyczna uwaga: nie zawsze najlepszym żądaniem jest „usuńcie wszystko”. Jeżeli zależy Ci głównie na tym, żeby firma już nie dzwoniła, bezpieczniejsze bywa żądanie wpisania numeru na listę blokady kontaktu marketingowego. Wtedy firma może przechowywać minimalną informację „nie dzwonić” zamiast usunąć numer z jednego systemu i za tydzień zaimportować go ponownie z tej samej bazy.
Brak odpowiedzi, ogólnik albo kolejne telefony: co robić dalej
Po miesiącu sprawa wchodzi w drugi etap. Nie wysyłaj dziesięciu maili z pretensjami. Zrób porządek w dowodach i wybierz ścieżkę.
Najpierw sprawdź, z czym masz do czynienia:
- brak odpowiedzi — firma milczy po wniosku RODO;
- odpowiedź pozorna — firma odsyła do polityki prywatności, ale nie mówi, skąd ma numer;
- odmowa bez podstawy — firma twierdzi, że „RODO jej nie dotyczy”;
- dalszy marketing — po sprzeciwie nadal dzwoni;
- podejrzenie braku zgody na telemarketing — firma nie potrafi wskazać, kiedy i gdzie udzielono zgody na kontakt telefoniczny.
W sprawach czysto RODO naturalną ścieżką jest skarga do Prezesa UODO. Urząd sam wskazuje, żeby przed skargą zgłosić żądanie administratorowi; administrator powinien odpowiedzieć maksymalnie w miesiąc, a jeśli ignoruje żądanie albo odpowiedź nie jest satysfakcjonująca, można złożyć skargę. Do skargi trzeba dołączyć dowody, np. korespondencję z firmą.
UODO nie jest jednak kasą odszkodowawczą. W skardze nie żądasz „proszę nałożyć 100 tys. zł kary”. Decyzja o administracyjnej karze pieniężnej należy do Prezesa UODO, a odszkodowania za szkodę majątkową lub niemajątkową dochodzi się przed sądem cywilnym.
Jeżeli problem dotyczy samego użycia telefonu do marketingu bez wymaganej zgody, dochodzi jeszcze ryzyko po stronie Prawa komunikacji elektronicznej. Za naruszenie obowiązku uzyskania zgody z art. 398 PKE Prezes UKE może nałożyć karę do 3% przychodu ukaranego podmiotu z poprzedniego roku kalendarzowego albo do 1 000 000 zł — stosuje się kwotę wyższą.
RODO też ma wysokie sankcje. Naruszenia praw osób, których dane dotyczą, w tym praw z art. 12–22 RODO, mogą podlegać karze do 20 mln euro albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego — przy czym stosuje się kwotę wyższą.
W praktyce dla czytelnika najważniejsza jest kolejność:
- Najpierw mail do administratora z pytaniem o źródło danych i sprzeciwem marketingowym.
- Po miesiącu analiza odpowiedzi: konkretna czy pozorna.
- Przy braku odpowiedzi albo odpowiedzi ogólnikowej — ponaglenie lub skarga do UODO.
- Przy kolejnych telefonach — osobny dowód naruszenia sprzeciwu.
- Przy braku zgody na telemarketing — rozważenie zgłoszenia problemu także pod kątem PKE.
Najmniej skuteczna metoda to rozmowa z każdym kolejnym konsultantem od początku. Najbardziej skuteczna: jeden porządny mail, zachowane potwierdzenie wysłania, komplet dowodów i pilnowanie terminu miesiąca.
FAQ: najczęstsze pytania i konkretne odpowiedzi
Czy firma musi mi powiedzieć, skąd ma mój numer telefonu?
Tak, jeżeli przetwarza Twoje dane osobowe i nie zebrała ich bezpośrednio od Ciebie, masz prawo otrzymać wszelkie dostępne informacje o ich źródle.
Czy odpowiedź „mamy numer z bazy marketingowej” wystarczy?
Zwykle to za mało. Poproś o nazwę bazy, podmiot przekazujący dane, datę pozyskania, pierwotne źródło i podstawę prawną. Firma nie musi wymyślać informacji, których nie ma, ale powinna przekazać to, czym dysponuje.
Ile firma ma czasu na odpowiedź?
Maksymalnie miesiąc od otrzymania żądania. Termin może zostać przedłużony o kolejne dwa miesiące, ale firma musi poinformować o tym w pierwszym miesiącu i podać przyczynę.
Czy mogę od razu żądać usunięcia numeru?
Możesz, ale najpierw zapytaj o źródło danych. Po usunięciu firma może odpisać tylko, że danych już nie ma, i trudniej będzie ustalić, skąd numer trafił do obiegu.
Co lepsze: usunięcie danych czy sprzeciw wobec marketingu?
Przy telefonach marketingowych priorytetem jest sprzeciw wobec marketingu bezpośredniego. Po takim sprzeciwie danych nie wolno dalej używać do tego celu.
Czy firma może żądać skanu dowodu osobistego?
Nie jako automatycznej reakcji na każdy wniosek. Może poprosić o dodatkowe informacje, gdy ma uzasadnione wątpliwości co do Twojej tożsamości. Przy sprawie dotyczącej numeru telefonu często wystarcza wskazanie numeru, daty połączenia i adresu e-mail do odpowiedzi.
Co zrobić, gdy firma nie odpowiada?
Po upływie miesiąca złóż ponaglenie albo skargę do UODO. Dołącz kopię wniosku, potwierdzenie wysłania, odpowiedź firmy — jeżeli była — oraz notatki z połączeń.
Od czego zacząć po niechcianym telefonie?
Zanotuj numer, datę, nazwę firmy i temat rozmowy. Potem wyślij pierwszy szablon maila z wnioskiem RODO. Bez tego zostajesz tylko z irytacją; z tym masz termin, dowód i konkretną podstawę do dalszego działania.
