Czy SMS reklamowy wymaga zgody? RODO, PKE i UKE w praktyce

To nie jest porada prawna. Artykuł porządkuje publicznie dostępne przepisy i komunikaty urzędów, żebyś wiedział, o co zapytać. Przy konkretnym przypadku skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Czy SMS reklamowy wymaga zgody? Tak. Poniżej opisujemy, co mówi art. 398 Prawa komunikacji elektronicznej (PKE), jak łączy się z RODO, czym różni się SMS transakcyjny od marketingowego, jak udokumentować zgodę i jak obsłużyć odpowiedź STOP. Piszemy to z perspektywy firmy, która wysyła wiadomości z własnego numeru, na przykład przez bramkę SMS na telefonie. Warto to wiedzieć, zanim zaczniesz wysyłać wiadomości zbiorcze.

Co mówi prawo o SMS-ach marketingowych?

Od 10 listopada 2024 r. obowiązuje ustawa Prawo komunikacji elektronicznej, która zastąpiła art. 172 Prawa telekomunikacyjnego. Zgoda na marketing bezpośredni przez SMS wynika dziś z art. 398 PKE.

Art. 398 ust. 1 PKE zakazuje używania:

1. automatycznych systemów wywołujących,
2. telekomunikacyjnych urządzeń końcowych (w szczególności w ramach usług komunikacji interpersonalnej)

do przesyłania informacji handlowej (w rozumieniu ustawy o świadczeniu usług drogą elektroniczną), w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę.

Dalsze ustępy mówią, że:

• zgodę można wyrazić przez udostępnienie identyfikującego Cię adresu elektronicznego w celu przesyłania informacji handlowej na ten adres (ust. 2),
• przesyłanie takich wiadomości nie może odbywać się na koszt odbiorcy (ust. 3),
• naruszenie jest czynem nieuczciwej konkurencji (ust. 4).

Ochrona dotyczy abonentów i użytkowników końcowych, więc zgoda jest potrzebna także przy wiadomościach do firm. Pełny tekst: Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221) w ISAP i w wersji tekstowej ELI.

Uwaga: starsze artykuły i orzeczenia powołują art. 172 Prawa telekomunikacyjnego. To ten sam zakaz, tylko w poprzednim akcie. Dla wiadomości wysyłanych dziś właściwy jest art. 398 PKE.

Jak do tego pasuje RODO?

Numer telefonu powiązany z osobą to dane osobowe, więc oprócz PKE obowiązuje RODO. Najważniejsze przepisy dla SMS-ów to:

• art. 6 ust. 1 RODO: potrzebujesz podstawy prawnej przetwarzania. Dla marketingu jest nią zwykle zgoda (lit. a) albo, w niektórych sytuacjach, prawnie uzasadniony interes (lit. f),
• art. 7 RODO: zgoda musi być wykazywalna (ust. 1), a jej wycofanie ma być tak łatwe jak jej udzielenie (ust. 3),
• art. 21 ust. 2 i 3 RODO: osoba może w każdej chwili sprzeciwić się przetwarzaniu danych w celu marketingu bezpośredniego, a po sprzeciwie nie wolno już danych w tym celu przetwarzać.

Ważna zależność: prawnie uzasadniony interes nie zastępuje zgody wymaganej przez art. 398 PKE. Dla SMS-a reklamowego wysłanego przy użyciu telekomunikacyjnego urządzenia końcowego potrzebna jest zgoda z PKE, a dane przetwarzasz dodatkowo zgodnie z RODO. UODO w komunikatach zwraca uwagę, że przy marketingu telefonicznym przepisy telekomunikacyjne wymagają zgody niezależnie od podstawy z RODO. Zobacz zasoby UODO o prawie do sprzeciwu.

Kto za co odpowiada: UKE, UODO i UOKiK?

• UKE (Urząd Komunikacji Elektronicznej): pilnuje przestrzegania PKE, w tym obowiązku uzyskania zgody z art. 398. Prezes UKE może nałożyć karę do 3% przychodu z poprzedniego roku lub do 1 000 000 zł, przy czym stosuje się kwotę wyższą (art. 446 ust. 5 PKE).
• UODO (Urząd Ochrony Danych Osobowych): pilnuje RODO, czyli m.in. podstawy prawnej, obowiązku informacyjnego i sprzeciwu. Kary za naruszenie RODO sięgają 20 mln euro lub 4% rocznego obrotu (art. 83 RODO).
• UOKiK (Urząd Ochrony Konkurencji i Konsumentów): zajmuje się ochroną konsumentów, m.in. praktykami naruszającymi ich zbiorowe interesy. Natarczywy marketing może być przedmiotem jego zainteresowania.

Skargę może złożyć każdy odbiorca. W głośnej sprawie operatora z 2018 r. postępowanie rozpoczęło się właśnie od skargi klienta.

Czy są przykłady kar za SMS-y bez zgody?

Tak. Najlepiej udokumentowany jest przypadek Orange Polska z 2018 r.

Co z tego wynika:

• UKE ocenia, czy firma potrafi wykazać zgody, a nie czy odbiorcy „raczej by się zgodzili”.
• Kara dotyczy także dużych, znanych firm.
• W komunikatach UKE zaznaczono, że decyzje nie były prawomocne w dniu publikacji, a firmy mogły odwołać się do sądu. Sprawdź dalsze losy konkretnej sprawy, zanim zacytujesz ją dalej.
• Wszystkie trzy sprawy powołują art. 172 Prawa telekomunikacyjnego, który zastąpił art. 398 PKE. Nie znaleźliśmy jeszcze opublikowanego przez UKE komunikatu o karze za SMS-y wyłącznie na podstawie art. 398, więc go nie cytujemy.

SMS transakcyjny a marketingowy: gdzie jest granica?

SMS marketingowy promuje produkty, usługi lub wizerunek i zachęca do zakupu. SMS transakcyjny (usługowy) informuje o czymś, o co klient prosił albo co wynika z umowy. Marketing wymaga zgody. Wiadomość usługowa jej nie wymaga, o ile naprawdę służy realizacji usługi.

Zasada praktyczna: jedna wiadomość, jeden cel. Gdy do przypomnienia dopiszesz ofertę, cała wiadomość staje się informacją handlową. Granica bywa sporna, więc przy wątpliwościach przyjmij ostrożniejszą interpretację. Gotowe, usługowe teksty znajdziesz w artykule o przypomnieniach SMS o wizycie.

Jak udokumentować zgodę na SMS-y?

Zapisz dowód zgody tak, żebyś mógł go pokazać urzędowi lub osobie, która o to zapyta. RODO wymaga, abyś potrafił wykazać zgodę (art. 7 ust. 1).

Dla każdej zgody trzymaj:

• kto: numer telefonu i identyfikator osoby (np. numer klienta),
• kiedy: data i godzina,
• gdzie i jak: formularz na stronie, papierowa karta pacjenta, SMS z potwierdzeniem, checkbox przy zamówieniu,
• na co: dokładna treść klauzuli i jej wersja, kanał (SMS, a nie ogólnie „marketing”),
• wycofanie: data i sposób, w jaki osoba zrezygnowała.

Dobre praktyki:

• osobny, niezaznaczony domyślnie checkbox dla SMS-ów, niepołączony ze zgodą na regulamin,
• klauzula wskazująca administratora, cel (marketing SMS-em) i prawo wycofania,
• w pierwszej wiadomości informacja, jak się wypisać, np. „Aby zrezygnować, odpisz STOP”,
• regularne czyszczenie bazy z osób, które się wypisały.

Pamiętaj: smsportal nie prowadzi rejestru zgód. Rejestr zgód prowadzisz u siebie, np. w CRM, bazie danych lub arkuszu.

Jak obsłużyć odpowiedź STOP?

Gdy ktoś odpisze STOP, natychmiast przestań wysyłać mu marketing i zapisz to w swojej bazie. Odpowiedź dociera do Ciebie jako zdarzenie webhooka, więc możesz obsłużyć wypisy automatycznie.

Przebieg:

1. Klient odpisuje „STOP” na Twój numer.
2. smsportal wysyła do Twojego serwera zdarzenie MESSAGE_RECEIVED z polami sender i message.
3. Twój kod dodaje numer do listy blokowanej i oznacza wycofanie zgody z datą.
4. Przy każdej kolejnej wysyłce (np. z pliku CSV albo przez API) odfiltrowujesz numery z listy blokowanej.

STOP_WORDS = {"STOP", "WYPISZ", "REZYGNUJE", "REZYGNUJĘ", "UNSUBSCRIBE"}

def handle_incoming(event: dict) -> None:
    text = event["message"].strip().upper()
    if text in STOP_WORDS:
        blocklist.add(event["sender"])            # Twoja baza
        consents.withdraw(event["sender"], at=event["receivedAt"])

def can_send_marketing(phone: str) -> bool:
    return phone not in blocklist and consents.has_active(phone)

blocklist i consents to Twoje struktury (tabela w bazie, arkusz). Zweryfikuj podpis X-Signature i deduplikuj po idempotencyKey, jak w artykule o odbieraniu SMS przez webhook. Aplikacja ma też filtry odbieranych SMS-ów, ale to nie jest mechanizm wypisów: blokadę wysyłki do numeru wdrażasz po swojej stronie.

Uwaga: wypis dotyczy marketingu. Wiadomości usługowe, np. o umówionej wizycie, możesz nadal wysyłać, dopóki trwa relacja z klientem, ale nie dołączaj do nich reklam.

Czy własny numer coś zmienia w kwestii zgód?

Nie. Obowiązek uzyskania zgody dotyczy treści i adresata, a nie tego, czy wysyłasz z numeru, nadpisu czy hurtowej bramki. Własny numer ma tę zaletę, że odbiorca widzi, kto pisze, i może łatwo odpisać (w tym STOP). Z drugiej strony przy dużej skali operatorzy mogą ograniczać masową wysyłkę z kart abonamentowych, więc dla kampanii marketingowych na dziesiątki tysięcy odbiorców lepszy jest dostawca hurtowy (porównanie kosztów, nadpis a własny numer).

smsportal nie sprawdza, czy masz zgody, ani nie dopisuje stopek wypisu. Techniczną stronę (wysyłka, odbiór, webhooki) robi on, a zgodność z prawem po stronie nadawcy jest Twoim zadaniem.

Lista kontrolna przed wysyłką marketingu SMS

• Mam zgodę na SMS od każdego odbiorcy i potrafię ją udowodnić.
• Zgoda była dobrowolna, konkretna i osobna od regulaminu.
• Wiadomość mówi, kto ją wysyła i jak się wypisać.
• Odpowiedź STOP trafia do listy blokowanej, a lista jest sprawdzana przy każdej wysyłce.
• Usługowe wiadomości nie zawierają reklam.
• Wiem, do kogo zgłosić zapytania odbiorców (administrator danych, kontakt w klauzuli).

Następny krok

Usługowe SMS-y, jak potwierdzenia i przypomnienia, możesz wysyłać z własnego numeru od razu. Załóż bezpłatne konto, podłącz telefon i zacznij od przykładów z artykułu o przypomnieniach o wizycie. Kampanie reklamowe uruchamiaj dopiero po uporządkowaniu zgód.