Czy można legalnie kupić bazę danych – i co wolno z nią zrobić

W skrócie

Tak, zakup bazy jest legalny, ale do wysyłki ofert na kupione adresy potrzebujesz zgody z art. 398 Prawa komunikacji elektronicznej, a sprzedawca nie przekaże Ci jej, jeśli sam nie zebrał jej na ten cel. Od dnia zakupu to Ty jesteś administratorem tych danych i odpowiadasz przed organem. Prezes UOKiK napisał to wprost we wrześniu 2026 w komunikacie o lipcowej decyzji: nie wystarczy kupić numeru razem z bazą od innej firmy.

Czy zakup bazy danych jest legalny – krótka odpowiedź

Tak. Kupno i sprzedaż zbioru kontaktów nie są zakazane. Warunek jest taki, że sprzedawca ma prawo dysponować tymi danymi, a Ty masz podstawę, żeby je dalej przetwarzać.

Tyle że to odpowiedź na jedno z dwóch pytań, które trzeba zadać – i akurat na to łatwiejsze.

Kupić bazę to nie to samo, co móc jej użyć

Wyobrażenie, że płacąc, kupujesz razem z plikiem prawo do kontaktu, to podstawowy błąd przy zakupie bazy. Prawo stawia w tym miejscu dwie osobne bramki i przechodzi się przez nie oddzielnie.

Tylko w pierwszym wierszu cokolwiek zależy od sprzedawcy. Nawet tam Twój własny obowiązek biegnie równolegle, bo samo pozyskanie pliku jest już przetwarzaniem po Twojej stronie. W pozostałych czterech odpowiadasz wyłącznie Ty, a żadnej z tych odpowiedzialności nie da się kupić razem z plikiem.

Umowa ze sprzedawcą może dać Ci roszczenie wobec niego, jeśli okaże się, że skłamał o pochodzeniu danych. Nie zdejmuje z Ciebie odpowiedzialności wobec Prezesa UKE ani Prezesa UODO.

Skąd bazy danych biorą dane osobowe

Rekordy pochodzą zwykle z trzech miejsc: rejestrów publicznych (CEIDG, KRS, REGON), stron internetowych firm oraz danych zbieranych przez telefon, formularz albo konkurs.

Pierwsze dwa źródła sprzedawcy przedstawiają jako bezpieczne, bo dane są jawne. Jedna z ofert w pierwszej dziesiątce wyników deklaruje wprost „100% zgodności z RODO i PKE”, bez słowa uzasadnienia (sprawdzone 18 września 2026). Jawność nie jest jednak zgodą. Dane w rejestrze podaje się po to, żeby zrealizować obowiązek wpisu, a nie po to, żeby dostawać oferty – i ta różnica wraca przy drugiej bramce.

źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych;

Ten fragment przesądza, co musisz napisać osobom z kupionej bazy. Bez wiedzy, skąd pochodzą dane, tego obowiązku nie spełnisz. Pytanie o źródło nie dotyczy więc etyki sprzedawcy – dotyczy tego, czy w ogóle wywiążesz się z własnego obowiązku.

Jak ocenić konkretną ofertę i o co dopytać, rozbieramy w tekście Bazy danych B2B – jak wybrać legalnego dostawcę.

Co musisz zrobić po zakupie bazy danych

Trzy rzeczy, wszystkie naraz.

Stajesz się administratorem. Od momentu, w którym decydujesz, po co użyjesz tych danych, obowiązki z RODO są Twoje: podstawa przetwarzania, okres przechowywania, obsługa żądań, bezpieczeństwo.

Masz obowiązek informacyjny. Ludziom z bazy trzeba powiedzieć między innymi, skąd masz ich dane. Zasada ogólna daje na to miesiąc od pozyskania danych, ale jeżeli baza służy do kontaktu, wchodzi reguła szczegółowa: informację podajesz najpóźniej przy pierwszej wiadomości do danej osoby.

Odpowiadasz za wysyłkę. Nie sprzedawca, nie agencja, która prowadzi kampanię. Nadawca.

Jednoosobowa działalność a zakup bazy danych klientów

Żaden z siedmiu poradników, które przeanalizowaliśmy w pierwszej dziesiątce wyników (18 września 2026), nie wspomina o jednoosobowej działalności po stronie nabywcy. A wątek dotyczy obu stron transakcji.

Gdy kupujesz bazę firm, kupujesz w niej zwykle także dane osobowe. Kontakt do przedsiębiorcy prowadzącego jednoosobową działalność jest jednocześnie jego daną osobową w rozumieniu RODO – wpis do CEIDG tego nie zmienia. To samo dotyczy imiennego adresu pracownika spółki, w rodzaju jan.kowalski@spzoo.pl.

Gdy sam prowadzisz jednoosobową działalność i kupujesz bazę, obowiązki masz dokładnie te same co spółka. Administratorem jest ten, kto decyduje o celach przetwarzania, a forma prawna nie ma tu znaczenia.

Bazy danych B2B i B2C – czym różnią się obowiązki kupującego

Czy firmowy adres – taki jak biuro@ – jest chroniony tak samo jak prywatny? Prawo komunikacji elektronicznej chroni abonenta lub użytkownika końcowego, czyli każdego, kto ma umowę na telefon albo internet. Kluczowe jest, jak ta sama ustawa definiuje drugie z tych pojęć.

86. użytkownik końcowy - podmiot korzystający z publicznie dostępnej usługi komunikacji elektronicznej lub żądający świadczenia takiej usługi, dla zaspokojenia własnych potrzeb;

Podmiot, nie osoba fizyczna. Spółka też jest podmiotem. Z tego wynika, że zgoda jest potrzebna również przy adresie firmowym. Żaden organ tego jeszcze nie przesądził, więc traktuj to jako założenie bezpieczniejsze, nie jako pewnik.

Jeśli w bazie są osoby prywatne, sprawą może zająć się nie tylko Prezes UKE, ale i Prezes UOKiK. Ten drugi ściga masową wysyłkę bez zgody jako praktykę godzącą w konsumentów jako grupę. Decyzji w tym trybie jest wyraźnie więcej niż po stronie UKE; opisana niżej RŁO 1/2026 jest jedną z nich.

Czy warto kupić bazę, czy zbudować własną

To pytanie o koszt, nie o legalność.

Kupiona baza daje kontakty od razu i bez zgód na wysyłkę. Własna baza rośnie wolniej, ale każdy rekord przychodzi z podstawą, na którą możesz się powołać. Uczciwe porównanie to nie cena za rekord, tylko cena za rekord, którego wolno Ci użyć w kanale, w którym chcesz działać.

Kupiona baza nie jest przy tym bezużyteczna bez zgód. Nadal potrzebujesz podstawy przetwarzania, ale zostają zastosowania analityczne: sprawdzenie, ilu jest w Polsce odbiorców odpowiadających Twojemu profilowi, i segmentacja przed decyzją, gdzie zbierać zgody. Zostaje też uzupełnienie własnej bazy o dane rejestrowe i wyłapanie firm już nieistniejących.

Co grozi za wysyłkę do kupionej bazy bez zgody

Warto przeczytać ten przepis dosłownie, bo poradniki zwykle streszczają go jako „Prezes UKE może nałożyć karę”.

W przypadku niewypełniania obowiązku uzyskania zgody użytkownika końcowego, o której mowa w art. 398, Prezes UKE, nakłada, w drodze decyzji, na podmiot, biorąc pod uwagę charakter i zakres naruszenia, karę pieniężną w wysokości do 3% przychodu ukaranego podmiotu, osiągniętego w poprzednim roku kalendarzowym lub do 1 000 000 zł, przy czym zastosowanie ma kwota wyższa. Przepisów ust. 2, 3 i 7 nie stosuje się.

Dwie rzeczy w tym zdaniu. Ustawa pisze „nakłada”, nie „może nałożyć” – uznaniowa jest wysokość w granicach ustawowych, nie sama decyzja o ukaraniu. Wyłączenie na końcu obejmuje też przepis, który pozwala ograniczyć karę do 15 000 zł wobec firmy o przychodzie poniżej 500 000 zł. Przy tej karze złagodzenie dla małych firm nie działa. Ustawa przewiduje ponadto grzywnę za wykroczenie, ścigane na żądanie pokrzywdzonego, a samą wysyłkę bez zgody traktuje jako czyn nieuczciwej konkurencji.

Który z tych trzech torów uruchomi się w konkretnej sprawie i kto musi w tym celu cokolwiek zrobić, rozkłada na czynniki tekst o zgodzie marketingowej.

Co sprawdzić przed zakupem bazy danych

Kupno bazy danych – krótkie odpowiedzi

Czy sprzedaż bazy danych osobowych jest legalna?+

Sama sprzedaż nie jest zakazana. Sprzedawca musi mieć podstawę przetwarzania tych danych i prawo nimi dysponować, a kupujący – własną podstawę, żeby je przetwarzać dalej. Odrębną sprawą jest to, czy kupujący będzie mógł wysłać do tych kontaktów ofertę.

Czy zakup bazy daje prawo do wysyłki ofert?+

Nie. Wysyłka wymaga uprzedniej zgody odbiorcy na otrzymywanie informacji handlowej tym kanałem (art. 398 Prawa komunikacji elektronicznej). Cudzej zgody nie da się odsprzedać – jeśli sprzedawca nie zbierał jej z myślą o Twojej wysyłce, nie masz na czym się oprzeć.

Czy baza klientów podlega RODO?+

Tak, jeżeli zawiera dane pozwalające zidentyfikować osobę fizyczną – imię i nazwisko, imienny adres e-mail, numer telefonu, a przy jednoosobowej działalności także dane firmowe. Format pliku i liczba rekordów nie mają znaczenia.

Czy istnieją legalne bazy danych do kupienia?+

Tak, ale „legalna baza” znaczy tyle, że sprzedawca ma prawo dysponować danymi. Nie znaczy, że wolno Ci prowadzić na nich wysyłkę. Te dwie rzeczy rozstrzygają różne przepisy i odpowiadają za nie różne osoby.

Czy dane w kupionej bazie muszą mieć zgodę zebraną wcześniej przez sprzedawcę?+

Do samego przetwarzania – niekoniecznie, bo podstawą bywa prawnie uzasadniony interes. Do wysyłki – zgoda musi istnieć i dotyczyć Twojej firmy jako nadawcy oraz tego kanału. Wśród ofert, które przejrzeliśmy w pierwszej dziesiątce wyników, żadna nie deklarowała zgód na wysyłkę przypisanych kupującemu.

Czy jednoosobowa działalność kupująca bazę ma te same obowiązki co spółka?+

Tak. Administratorem jest ten, kto decyduje o celach i sposobach przetwarzania – forma prawna nie zmienia zakresu obowiązków ani wysokości górnej granicy kary.

Co muszę zrobić po zakupie bazy?+

Ustalić własną podstawę przetwarzania i spełnić obowiązek informacyjny wynikający z RODO, podając między innymi źródło pochodzenia danych. Jeżeli baza służy do kontaktu, informacja musi dotrzeć najpóźniej przy pierwszej wiadomości do danej osoby.

Gdzie kupić bazę danych?+

Nie polecamy dostawców i nie sprzedajemy baz. Zamiast listy nazw dajemy kryteria oceny oferty – zebraliśmy je w tekście o bazach B2B.

Zakup bazy danych – co zapamiętać

Więcej o tym, jak ocenić konkretną ofertę, znajdziesz w tekście Bazy danych B2B – jak wybrać legalnego dostawcę, a cały temat zbieramy w hubie Bazy danych.

Zanim zapłacisz, odpowiedz sobie na drugie pytanie, nie na pierwsze. Pierwsze – „czy wolno kupić” – ma odpowiedź „tak” i nic z niej nie wynika. Drugie brzmi: czym będę dysponował dzień po przelewie, jeżeli okaże się, że zgód na wysyłkę w tej bazie nie ma. Jeżeli odpowiedź to „listą kontaktów, do których nie mogę napisać”, kupujesz materiał do analizy, a nie kampanię.