Bazy danych B2B – jak wybrać legalnego dostawcę

W skrócie

Legalnego dostawcę sprawdzisz pytaniami z listy niżej, ale nawet legalnie kupiona baza B2B nie daje prawa do wysyłki ofert: ta wymaga odrębnej zgody odbiorcy (art. 398 Prawa komunikacji elektronicznej), a odpowiada za nią nadawca. Deklaracja „zgodna z RODO” opisuje sytuację sprzedawcy, nie Twoją. Po zakupie musisz podać osobom z bazy, skąd masz ich dane, najpóźniej przy pierwszej wiadomości.

Czym jest baza danych B2B

Baza danych B2B – w ofertach nazywana też biznesową bazą danych albo bazą klientów biznesowych – to uporządkowany zbiór kontaktów do firm. Zawiera zwykle nazwę, NIP, branżę według PKD, wielkość, adres i telefon, a czasem też imienny adres osoby decyzyjnej. Kupuje się ją po to, żeby mieć skąd brać leady B2B.

Czy zakup bazy danych firm jest legalny

Tak. Żaden przepis nie zakazuje kupna ani sprzedaży bazy kontaktów. O legalności transakcji przesądza to, czy sprzedawca miał prawo dysponować tymi danymi.

Ale legalność zakupu i legalność użycia to dwie osobne bramki. Szerzej rozstrzygamy to w hubie Bazy danych; tutaj skupiamy się na tym, jak ocenić konkretną ofertę.

„Zgodne z RODO” u sprzedawcy to nie zgoda na wysyłkę u Ciebie

Kiedy sprzedawca pisze „baza w 100% zgodna z RODO”, w najlepszym razie twierdzi, że on ma podstawę przetwarzania tych danych – zwykle prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO. To twierdzenie o jego sytuacji prawnej.

Twoja sytuacja jest inna i rządzi się dwiema odrębnymi regułami.

Pierwsza: podstawa przetwarzania po Twojej stronie. Kupując plik, sam stajesz się administratorem tych danych w rozumieniu art. 4 pkt 7 RODO – to Ty decydujesz, po co i jak je przetwarzasz. Podstawa sprzedawcy nie przechodzi na Ciebie razem z plikiem; potrzebujesz własnej.

Druga: zgoda na kanał komunikacji. Wysyłka oferty pocztą elektroniczną wymaga zgody z art. 398 Prawa komunikacji elektronicznej. Przepis chroni abonenta lub użytkownika końcowego – a użytkownika końcowego ta sama ustawa definiuje w art. 2 pkt 86 jako podmiot, nie jako osobę fizyczną. Dlatego obowiązek obejmuje też adresy firmowe. Zgoda musi być odrębna, uprzednia i dotyczyć tego konkretnego kanału. Sprzedawca nie może Ci jej przekazać, jeśli sam nie zebrał jej na ten cel – nie da się odsprzedać cudzej zgody. Krok po kroku, jak taką zgodę zbierać i dokumentować, pokazujemy w tekście Zgoda marketingowa – jak ją uzyskać i udokumentować.

Co pod tym adresem stało wcześniej

Ten adres jest nasz. Zanim powstał ZN Direct w obecnej formie, domena należała do agencji sprzedającej bazy danych – a pod tym samym adresem, pod którym czytasz ten tekst, stała jej strona ofertowa.

Migawka z 13 listopada 2025 w Wayback Machine pokazuje stronę opublikowaną w styczniu 2019, z nagłówkiem „Gwarantujemy zgodność baz danych B2B z aktualnymi przepisami RODO”. Towarzyszy jej zachęta do bezpłatnej konsultacji (zobacz migawkę). Stąd data publikacji tego adresu: nadal styczeń 2019.

Znacznik ostatniej modyfikacji tamtej strony to 30 października 2024 – jedenaście dni przed wejściem w życie Prawa komunikacji elektronicznej. Gwarancja zgodności nigdy nie została zaktualizowana o przepis, który zmienił zasady wysyłki.

Deklaracja zgodności jest zdaniem o jednym momencie i o jednej ustawie. Ty kupujesz bazę, której będziesz używać później i na innych zasadach.

Jednoosobowa działalność w bazie B2B – kiedy kupujesz dane osobowe

„Baza firm” brzmi, jakby nie było w niej danych osobowych. Zwykle są.

Dane kontaktowe przedsiębiorcy prowadzącego jednoosobową działalność są jednocześnie jego danymi osobowymi. Art. 4 pkt 1 RODO mówi o informacjach o możliwej do zidentyfikowania osobie fizycznej, a wpis do CEIDG tego nie zmienia. To samo dotyczy imiennego adresu pracownika spółki: jan.kowalski@spzoo.pl wskazuje konkretnego człowieka.

W praktyce oznacza to, że kupując „bazę firm”, niemal na pewno kupujesz też zbiór danych osobowych – z całym RODO w tle.

Kryteria oceny dostawcy bazy danych B2B

18 września 2026 przejrzeliśmy pierwszą dziesiątkę wyników wyszukiwania dla frazy „bazy danych b2b”. Wszystkie dziesięć to strony sprzedawców, brokerów albo pośredników – ani jednego niezależnego poradnika. Dwa z nich mają formę artykułu z listą kryteriów wyboru dostawcy i oba kończą się zachętą do zakupu własnej oferty.

Ta lista jest pisana z drugiej strony stołu.

Najważniejsze jest pytanie trzecie. Jeżeli sprzedawca odpowiada na nie jednym zdaniem obejmującym RODO i Prawo komunikacji elektronicznej naraz, to sygnał ostrzegawczy. Tych dwóch warstw nie rozdziela – albo nie chce rozdzielać.

Skąd dostawcy biorą dane: CEIDG, KRS, REGON i reszta

W ofertach z tej samej dziesiątki wyników powtarzają się trzy źródła: rejestry publiczne, strony internetowe firm i dane zbierane przez telefon albo formularz.

Dostawcy przedstawiają rejestry publiczne jako źródło bezpieczne, bo dane są jawne. Jawność nie jest jednak tym samym co zgoda. Dane w CEIDG podaje się po to, żeby zrealizować obowiązek wpisu do rejestru, a nie po to, żeby otrzymywać oferty. To samo dotyczy adresu na stronie firmy.

Trzy rejestry różnią się tym, co z nich wypada. CEIDG obejmuje jednoosobowe działalności – czyli akurat te rekordy, które są jednocześnie danymi osobowymi. KRS obejmuje spółki i podaje dane osób zasiadających w ich organach, więc dane osobowe są i tam, tylko innego rodzaju. REGON daje numer, adres i kody działalności, bez danych kontaktowych – dlatego w bazach służy zwykle do uzupełniania rekordów, nie do ich pozyskiwania.

Pośrednicy, nazywani też brokerami baz danych, kupują dane z wielu takich źródeł i odsprzedają dalej. Z Twojego punktu widzenia oznacza to jedno: łańcuch pochodzenia jest dłuższy, więc pytanie o źródło staje się ważniejsze, nie mniej ważne.

Źródło ma dla Ciebie znaczenie praktyczne, nie porządkowe.

źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych;

Ten fragment wskazuje, jaką informację musisz przekazać osobom z kupionej bazy. Art. 14 ma zastosowanie, gdy danych nie pozyskano bezpośrednio od osoby, której dotyczą – a to dokładny opis sytuacji po zakupie. Bez ustalenia pochodzenia danych ten obowiązek jest niewykonalny.

Jest też termin. Zasada ogólna wyznacza na to miesiąc od dnia otrzymania danych (art. 14 ust. 3 lit. a). Przy bazie kupionej pod kampanię wchodzi jednak reguła szczegółowa: informację podajesz najpóźniej w pierwszej wiadomości do danej osoby (art. 14 ust. 3 lit. b). W praktyce klauzula informacyjna jedzie w tym samym mailu co oferta albo wcześniej.

Do czego kupiona baza nadaje się, zanim zbierzesz zgody

Brak zgód na kanał nie czyni pliku bezużytecznym – zawęża sposób użycia. Nadal potrzebujesz podstawy przetwarzania z RODO, ale sam kontakt nie jest jedynym zastosowaniem.

Bazy B2B używa się też do sprawdzenia, ilu jest w Polsce odbiorców odpowiadających Twojemu profilowi. Przydaje się też do segmentacji przed decyzją, gdzie w ogóle warto zbierać zgody. Służy do uzupełnienia własnej bazy klientów o dane rejestrowe, których nie masz, oraz do wyłapania duplikatów i firm już nieistniejących. To są zastosowania analityczne, nie kontaktowe – i to właśnie one zostają, gdy zgody na wysyłkę nie ma.

Zakup na własność czy wynajem bazy – czym się różnią

Spotkasz trzy modele. Różnią się ceną, a przede wszystkim tym, kto po podpisaniu umowy jest administratorem danych.

Zakup pliku na własność. Dostajesz plik i możesz go używać zgodnie z umową. Od tego momentu wszystkie obowiązki administratora są po Twojej stronie: aktualizacja, obsługa sprzeciwów, usuwanie danych, obowiązek informacyjny.

Dostęp na czas określony. Korzystasz z bazy dostawcy przez jego narzędzie. Część obowiązków zostaje u niego – ale tylko wtedy, gdy umowa wprost wskazuje, kto o tych danych decyduje. Ta osoba jest administratorem, a ten, kto wykonuje na nich pracę na cudze polecenie, jest podmiotem przetwarzającym. Bez takiej umowy nie wiadomo, kto odpowiada za co.

Rozliczenie za efekt. Płacisz za kontakt albo za umówione spotkanie. Danych formalnie nie kupujesz, ale jeżeli to Ty wysyłasz wiadomość, odpowiedzialność za wysyłkę i tak jest Twoja.

W każdym z trzech wariantów pytanie brzmi tak samo: kto jest administratorem po podpisaniu umowy. Jeżeli umowa tego nie rozstrzyga, przyjmij, że Ty.

Ile kosztuje baza danych firm

Cena zależy od trzech rzeczy: liczby rekordów, zakresu pól i modelu rozliczenia. Widełek nie podajemy, bo sprzedawcy publikują stawki wybiórczo i zwykle dopiero po kontakcie.

Praktyczna wskazówka jest inna: porównuj nie cenę za rekord, tylko cenę za rekord, którego wolno Ci użyć. Baza z dwustoma tysiącami kontaktów, w której zgód na wysyłkę nie ma, jest przy wysyłce e-mailowej warta tyle, co pusty plik. Nie ma znaczenia, ile kosztowała.

Co grozi kupującemu za korzystanie z nielegalnej bazy

Odpowiedzialność za wysyłkę ponosi nadawca, nie sprzedawca bazy. Umowa ze sprzedawcą może dać Ci roszczenie wobec niego, ale nie zdejmuje z Ciebie odpowiedzialności wobec organu.

Za brak zgody na kanał grozi kara nałożona przez Prezesa UKE. Górna granica to 3% ubiegłorocznego przychodu albo 1 000 000 zł – obowiązuje kwota wyższa. Osobne konsekwencje przewiduje RODO po stronie ochrony danych. Pełne zestawienie trzech torów odpowiedzialności jest w tekście o zgodzie marketingowej.

Co sprawdzić przed podpisaniem umowy na bazę B2B

Bazy danych B2B – pytania przed zakupem

Czy baza danych firm jest legalna?+

Sama baza i jej zakup są legalne. Pytanie, na które trzeba odpowiedzieć osobno, brzmi: czy wolno Ci na te kontakty wysłać ofertę. To rozstrzyga art. 398 Prawa komunikacji elektronicznej, który wymaga uprzedniej zgody odbiorcy – także przy adresie firmowym.

Czy mogę wykorzystać kupioną bazę do mailingu reklamowego?+

Tylko wtedy, gdy masz zgodę odbiorców na otrzymywanie informacji handlowej tym kanałem. Zgoda zebrana przez sprzedawcę na jego własne cele nie obejmuje Twojej wysyłki. Odpowiedzialność wobec organu ponosi nadawca.

Gdzie kupić bazę danych firm?+

Nie polecamy konkretnych dostawców i nie sprzedajemy baz. Zamiast listy nazw dajemy dziesięć kryteriów oceny oferty – są w tabeli wyżej, od źródła danych po dokumenty, które dostawca powinien Ci przekazać.

Co to jest broker danych firm?+

Pośrednik, który zbiera dane z wielu źródeł i odsprzedaje je dalej. Z punktu widzenia kupującego oznacza to jedno: łańcuch pochodzenia danych jest dłuższy, więc pytanie o źródło staje się ważniejsze, nie mniej ważne.

Jakie dane zawiera dobra baza B2B?+

Zwykle nazwę, NIP, kod PKD, wielkość firmy, lokalizację i dane kontaktowe. Z perspektywy prawnej istotniejsze od zakresu pól jest to, czy baza rozróżnia dane firmy od danych osoby fizycznej. Ważne jest też, czy zawiera informację o źródle każdego rekordu.

Czy można pobrać darmową bazę danych firm?+

Dane z rejestrów publicznych, takich jak CEIDG czy KRS, są jawne i dostępne bezpłatnie. Ich jawność nie jest jednak zgodą na otrzymywanie ofert, więc darmowa baza z rejestru nie rozwiązuje problemu zgody na kanał. Przesuwa tylko koszt – z pozyskania danych na spełnienie obowiązków.

Zakup czy wynajem bazy – co wybrać?+

To zależy od tego, kto ma być administratorem danych. Przy zakupie na własność wszystkie obowiązki przechodzą na Ciebie. Przy dostępie na czas określony część może zostać u dostawcy, ale tylko jeżeli umowa wprost to rozstrzyga. Bez takiej umowy przyjmij, że odpowiadasz Ty.

Czy jednoosobowa działalność w bazie B2B to dane osobowe?+

Tak. Kontakt do osoby prowadzącej jednoosobową działalność jest zarazem jej daną osobową – rejestracja w CEIDG nic w tym nie zmienia. Ten sam mechanizm dotyczy imiennego adresu pracownika spółki.

Co muszę zrobić po zakupie bazy?+

Spełnić obowiązek informacyjny z art. 14 RODO – podać między innymi źródło pochodzenia danych. Jeżeli baza służy do kontaktu, informację trzeba przekazać najpóźniej przy pierwszej wiadomości do danej osoby.

Bazy danych B2B – co zapamiętać

Deklaracja „zgodne z RODO” jest zdaniem o sprzedawcy. Twoje pytanie brzmi inaczej: czy wolno mi na te kontakty napisać, i co muszę zrobić, zanim to zrobię.

Więcej o tym, skąd biorą się bazy i co wolno z nimi zrobić, zebraliśmy w hubie Bazy danych.

Dlatego przed przelewem zapytaj nie o zgodność bazy z przepisami, tylko o dwie konkretne rzeczy. Po pierwsze: skąd pochodzą dane – bez tego nie spełnisz obowiązku informacyjnego. Po drugie: czy w bazie są zgody na wysyłkę tym kanałem, a jeżeli tak, to czyje. Odpowiedź „mamy wszystko zgodne z RODO i PKE” nie jest odpowiedzią na żadne z tych pytań.