RODO a SMS marketing — jak legalnie prowadzić kampanie SMS

SMS marketing to jedno z najskuteczniejszych narzędzi komunikacji z klientem. Ale w Polsce i UE obowiązują surowe przepisy dotyczące przetwarzania danych osobowych i komunikacji elektronicznej. W tym artykule wyjaśniamy, jak prowadzić kampanie SMS zgodnie z RODO i PKE.

Podstawy prawne SMS marketingu w Polsce

Wysyłanie SMS-ów marketingowych w Polsce regulują dwa akty prawne:

• RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) — ochrona danych osobowych
• PKE (Prawo komunikacji elektronicznej, Dz.U. 2024.1221) — reguluje komunikację elektroniczną i marketing bezpośredni

W praktyce oznacza to, że każdy SMS marketingowy wymaga:

1. Zgody odbiorcy (RODO + PKE)
2. Prawidłowej informacji o administratorze danych (RODO)
3. Możliwości łatwego wypisania się (PKE)
4. Zabezpieczenia danych osobowych (RODO)

Zgoda na SMS marketing — jak powinna wyglądać?

Wymagania RODO dla zgody

Zgoda musi być:

• Dobrowolna — klient nie może być zmuszony do wyrażenia zgody
• Konkretna — musi określać cel (np. "otrzymywanie informacji marketingowych SMS-em")
• Świadoma — klient musi wiedzieć, na co się zgadza
• Jednoznaczna — wyrażona w formie wyraźnego działania (checkbox, przycisk)

Zgoda dorozumiana NIE JEST wystarczająca. Milczenie, brak działania, domyślne zaznaczony checkbox — to nie są zgody w rozumieniu RODO.

Wymagania PKE dla zgody

PKE (art. 398) wymaga zgody na:

• Wysyłanie informacji handlowych za pomocą SMS
• Używanie automatycznych systemów wywołujących
• Używanie elektronicznych kanałów komunikacji do marketingu bezpośredniego

Zgoda musi być wyrażona przed rozpoczęciem komunikacji. Nie można wysyłać SMS-ów, jeśli klient nie wyraził zgody.

Jak powinien wyglądać formularz zgody?

Przykład prawidłowej zgody:

[ ] Wyrażam zgodę na otrzymywanie informacji handlowych
    (w tym ofert promocyjnych i marketingowych) od firmy XYZ
    Sp. z o.o. drogą elektroniczną (e-mail, SMS). Zgodę mogę
    wycofać w każdej chwili.

Zasady:

• Checkbox domyślnie odznaczony
• Wskazanie administratora danych
• Wskazanie celu przetwarzania
• Informacja o prawie do wycofania zgody
• Oddzielna zgoda dla każdego kanału (e-mail, SMS, telefon)

Opt-out — prawo do rezygnacji

PKE i RODO wymagają, aby każdy SMS marketingowy zawierał informację, jak zrezygnować z dalszych wiadomości.

Przykłady:

• "Aby zrezygnować, wyślij STOP na numer XYZ"
• "Rezygnacja: link"
• "Więcej informacji: [link do polityki]"

Wymagania:

• Opt-out musi być łatwy (jedno kliknięcie lub jeden SMS)
• Rezygnacja musi być natychmiastowa (nie można czekać 30 dni)
• Nie można wysyłać SMS-ów po rezygnacji (oprócz potwierdzenia rezygnacji)
• Rezygnacja z jednego kanału nie oznacza rezygnacji z innych

Uwaga: Jeśli klient wysyła STOP, musisz:

1. Natychmiast usunąć go z listy marketingowej
2. Zachować dowód rezygnacji (dla audytu)
3. Nie wysyłać już SMS-ów marketingowych

Obowiązki informacyjne RODO

Przy zbieraniu danych osobowych (np. numeru telefonu) musisz poinformować klienta o:

• Tożsamości administratora — kto przetwarza dane
• Celach przetwarzania — po co zbierasz numer
• Podstawie prawnej — np. zgoda, umowa, uzasadniony interes
• Odbiorcach danych — komu przekazujesz dane (np. bramka SMS)
• Okresie przechowywania — jak długo przechowujesz dane
• Prawach klienta — dostęp, sprostowanie, usunięcie, wycofanie zgody, skarga do UODO
• Zautomatyzowanym podejmowaniu decyzji — jeśli dotyczy

Informacja musi być zwięzła, przejrzysta i łatwo dostępna (np. w polityce prywatności).

Umowa powierzenia przetwarzania danych (DPA)

Jeśli korzystasz z zewnętrznej bramki SMS (np. SMSIK), musisz zawrzeć z nią umowę powierzenia przetwarzania danych (DPA — Data Processing Agreement).

Wymagania RODO dla DPA (art. 28):

• Przetwarzanie tylko na udokumentowane polecenie administratora
• Zapewnienie poufności osób przetwarzających
• Wdrożenie odpowiednich środków bezpieczeństwa
• Wsparcie w realizacji praw osób, których dane dotyczą
• Pomoc w zgłaszaniu naruszeń do UODO
• Usunięcie danych po zakończeniu umowy
• Udostępnienie informacji dla audytu

W SMSIK oferujemy gotową umowę DPA zgodną z RODO — dołączoną do regulaminu.

Retencja danych — jak długo można przechowywać?

RODO nie określa konkretnych okresów retencji. Musisz sam ustalić, jak długo dane są potrzebne do realizacji celu:

• Dane marketingowe — do momentu wycofania zgody
• Dane transakcyjne — 5 lat (przedawnienie roszczeń podatkowych)
• Logi systemowe — 12 miesięcy (bezpieczeństwo)
• Historia SMS — typowo 12-24 miesiące (audyt, obrona przed roszczeniami)

Po upływie okresu retencji dane muszą być usunięte lub zanonimizowane.

Bezpieczeństwo danych

RODO wymaga odpowiednich środków technicznych i organizacyjnych:

• Szyfrowanie transmisji — HTTPS/TLS dla wszystkich połączeń
• Szyfrowanie danych w spoczynku — baza danych, kopie zapasowe
• Kontrola dostępu — tylko upoważnione osoby
• Logi dostępu — kto, kiedy, do jakich danych
• Kopie zapasowe — regularne, testowane
• Procedury reagowania na incydenty — plan działania

Naruszenia ochrony danych

Jeśli dojdzie do naruszenia ochrony danych osobowych (np. wyciek numerów telefonów), musisz:

1. Zgłosić naruszenie do UODO w ciągu 72 godzin (jeśli ryzyko dla osób jest wysokie)
2. Poinformować osoby, których dane dotyczą (jeśli ryzyko jest wysokie)
3. Udokumentować naruszenie (nawet jeśli nie zgłaszasz)

Kary za naruszenia:

• Do 10 mln EUR lub 2% rocznego obrotu (lżejsze naruszenia)
• Do 20 mln EUR lub 4% rocznego obrotu (poważne naruszenia)

Kary za naruszenia PKE

Prezes UKE może nałożyć kary za:

• Wysyłanie SMS-ów bez zgody — do 3% przychodu
• Brak możliwości rezygnacji — do 3% przychodu
• Wysyłanie po rezygnacji — do 3% przychodu

Podsumowanie — checklist zgodności

Twoje kampanie SMS są zgodne z RODO i PKE, jeśli:

• Masz wyraźną, udokumentowaną zgodę na SMS marketing
• Zgoda jest dobrowolna, konkretna, świadoma, jednoznaczna
• Każdy SMS zawiera informację o możliwości rezygnacji
• Rezygnacja jest natychmiastowa i łatwa
• Masz politykę prywatności z pełną informacją RODO
• Masz umowę DPA z bramką SMS
• Przechowujesz dane tylko przez niezbędny okres
• Stosujesz odpowiednie środki bezpieczeństwa
• Masz procedury reagowania na naruszenia

W SMSIK pomagamy klientom w zgodności z RODO i PKE. Oferujemy gotową umowę DPA, dokumentację compliance, wsparcie prawne. Skontaktuj się z nami w sprawie zgodności Twoich kampanii SMS.