Voicebot outbound, cold calling w Polsce zgodnie z prawem

Cold calling automatyczny (wywołanie do osoby, która nie miała z nami żadnej wcześniejszej relacji, i która nie wyraziła zgody na kontakt marketingowy), w naszej ocenie narusza art. 398 PKE. Nie ma znaczenia, czy po drugiej stronie jest AI, czy człowiek, ani czy rozmowa trwa 30 sekund. Jeśli cel jest marketingowy (sprzedaż, pozyskanie leada, zaproszenie do zakupu), zgoda musi być PRZED rozmową. Stanowisko Prezesa UOKiK, m.in. w decyzji DOZIK 3/2019 z 30 maja 2019 r. przeciwko Netii oraz decyzji RPZ 9/2019 z 13 września 2019 r., jasno wskazuje, że sama intencja promocyjna wystarcza, by komunikat został zakwalifikowany jako marketing bezpośredni w rozumieniu dawnego art. 172 ust. 1 Prawa telekomunikacyjnego (obecnie art. 398 PKE), niezależnie od formy.

Źródłem zgody nie jest sam fakt, że ktoś ma konto na portalu, wysłał zapytanie ofertowe kiedyś, zostawił numer gdziekolwiek. Zgoda musi być: (a) wyraźna i konkretna, na kontakt telefoniczny w celu marketingowym, (b) świadoma, rozmówca wie, że się zgadza na takie rozmowy, (c) dobrowolna, nie jest warunkiem wykonania innej usługi, (d) możliwa do wycofania w każdej chwili.

Kary za naruszenie art. 398 PKE wymierza Prezes UKE: czyn jest stypizowany w art. 444 ust. 1 pkt 81 PKE, a wysokość określa art. 446 ust. 5 PKE, do 3% przychodu ukaranego podmiotu w poprzednim roku kalendarzowym lub do 1 mln zł (kwota wyższa). Niezależnie UODO może nałożyć kary z RODO za brak podstawy prawnej przetwarzania (do 20 mln EUR lub 4% globalnego obrotu, kwota wyższa). Dodatkowo UOKiK za praktyki naruszające zbiorowe interesy konsumentów (decyzja Arstele RPZ 9/2019, ok. 70 000 zł). Trzy reżimy mogą zadziałać równolegle za to samo zachowanie.

Nasza polityka w odbierze.ai: nie wdrażamy automatycznego cold callingu do kontaktów bez wyraźnej zgody. Jeśli klient wnioskuje o taką kampanię, wyjaśniamy sytuację prawną i odmawiamy lub przekierowujemy do modelu, w którym zgoda istnieje. To odmowa na rynku, ale to też ochrona Twojej firmy przed konsekwencjami.

Pięć klarownych scenariuszy, w których rozmowa wychodząca voicebotem nie narusza polskiego prawa, pod warunkiem prawidłowej konfiguracji:

1. Kontakt z istniejącym klientem w ramach wykonywanej umowy (art. 6 ust. 1 lit. b RODO). Przykłady: potwierdzenie wizyty, odnowienie polisy dotychczasowego klienta, follow-up po zamówieniu, obsługa reklamacji. Nie narusza art. 398 PKE, bo nie jest to marketing bezpośredni, tylko realizacja umowy.

2. Kontakt z osobą, która wyraziła wyraźną zgodę na kontakt marketingowy telefonicznie. Przykłady: formularz kontaktowy z zaznaczoną zgodą marketingową, rejestracja na webinar z przesłaniem numeru, zakup z potwierdzoną zgodą na kontakt. Zgoda musi być udokumentowana i możliwa do wycofania.

3. Potwierdzanie zaplanowanych wizyt / terminów. Nie ma tu elementu marketingowego, to obsługa umówionego świadczenia. Konfiguracja standardowa dla gabinetów, kancelarii, warsztatów. Nie podlega zakazowi z art. 398 PKE (podstawa RODO: art. 6 ust. 1 lit. b, wykonanie umowy).

4. Reaktywacja leadów, którzy zapytali ofertowo w ciągu ostatnich 12 miesięcy. Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO), pod warunkiem, że osoba zostawiła numer z intencją bycia kontaktowanym w sprawie oferty. Jeśli zostawiła numer w całkiem innym kontekście, nie.

5. Rozmowy serwisowe / utrzymaniowe (gwarancja, bezpieczeństwo, zmiana regulaminu, fakturowanie). Nie są marketingiem bezpośrednim, więc nie podlegają art. 398 PKE. Podstawa RODO, wykonanie umowy lub prawnie uzasadniony interes (bezpieczeństwo, informacja).

Nasz proces konfiguracji dla każdej kampanii outbound voicebotem wygląda następująco. Najpierw audyt podstawy prawnej. Sprawdzamy, na jakim źródle danych opiera się kampania: lista istniejących klientów (art. 6 ust. 1 lit. b RODO), baza zgód marketingowych (lit. a) lub baza leadów z udokumentowanym prawnie uzasadnionym interesem (lit. f). Bez jasnej podstawy prawnej nie wdrażamy.

Drugi krok: filtr DNC (Do Not Call). W Polsce nie ma publicznego rejestru „Nie dzwoń”, w jaki działa w USA czy UK, więc DNC to zawsze wewnętrzna lista administratora. Budujemy ją z dwóch źródeł: (a) Twojej dotychczasowej listy „no contact”, (b) rekordów oznaczonych w CRM jako wycofana zgoda. Po każdej rozmowie, w której rozmówca powie „proszę więcej nie dzwonić”, numer trafia na listę DNC natychmiast. Przed każdą rozmową system sprawdza ten rejestr i wyklucza dopasowane numery.

Trzeci krok: obowiązki informacyjne na otwarciu. Agent mówi: (a) kto dzwoni (nazwa firmy, imię agenta), (b) że jest systemem AI (art. 50 AI Act), (c) w jakim celu dzwoni, (d) że rozmówca w każdej chwili może poprosić o zakończenie i usunięcie z listy. W praktyce to krótka klauzula na otwarciu rozmowy, przed przejściem do tematu. Dokładna długość zależy od treści (art. 13 RODO i art. 50 AI Act nie określają sztywnego limitu czasowego).

Czwarty krok: limity częstotliwości i godzin. Nie dzwonimy przed 9:00 i po 19:00 (dobra praktyka branżowa, niezależnie od braku sztywnej regulacji). Nie dzwonimy więcej niż dwa razy do tego samego numeru w kampanii. Nie dzwonimy w weekendy do klientów indywidualnych bez ich wyraźnej zgody na weekendowe kontakty.

Piąty krok: audyt po kampanii. Po jej zakończeniu generujemy raport, który zawiera: ile rozmów wykonano, ile osób poprosiło o DNC, ile zakończyło się pozytywnym wynikiem oraz ile było błędów (np. numer pomyłkowy, niedziałający). Raport trafia do Twojej dokumentacji jako materiał, który w razie kontroli UODO lub UKE jest dowodem należytej staranności.

Polskie prawo nie reguluje godzin rozmów wychodzących w sposób sztywny. Regulują to dobre praktyki branżowe oraz ryzyko skargi do UKE lub UODO. Nasze standardowe widełki: rozmowy do klientów indywidualnych od 9:00 do 19:00 w dni robocze, do B2B od 9:00 do 17:00 w dni robocze. W soboty i niedziele dzwonimy tylko do istniejących klientów w ramach obsługi (np. potwierdzenie wizyty), nigdy do nowych kontaktów.

Tempo kampanii (dobra praktyka, a nie sztywny wymóg): maksymalnie dwie próby do tego samego numeru w kampanii. Przerwa między próbami co najmniej 48 godzin. Po braku odbioru w drugiej próbie rekord wychodzi z kampanii na minimum 90 dni. Nadgorliwy dialer generuje skargi, a każda skarga do UKE to potencjalna kontrola.

Odczyt zgody i konfiguracja techniczna. Przed każdą rozmową system sprawdza flagę zgody w CRM: „telefon marketingowy: zgoda aktywna / wycofana / wygasła”. Dla zgód sprzed 24 miesięcy rekomendujemy odświeżenie przed kampanią (walidacja drogą mailową). To wymóg rzetelności, nie przepisu, ale minimalizuje ryzyko.

Przykładowy skrypt otwarcia rozmowy wychodzącej, zgodny z RODO, AI Act i PKE:

„Dzień dobry. Dzwonię z firmy [nazwa]. Jestem asystentem AI, to zautomatyzowana rozmowa. Kontaktuję się w związku z [konkretny powód: odnowienie polisy / zapytanie sprzed miesiąca / potwierdzenie wizyty]. Rozmowa jest nagrywana w celach obsługowych. W każdej chwili może Pan lub Pani powiedzieć „proszę więcej nie dzwonić” i zakończymy, a numer usuniemy z listy. Czy mogę kontynuować?”

Trzy elementy, które muszą paść: (1) kto dzwoni, czyli nazwa firmy i identyfikacja jako AI, (2) po co, czyli konkretny powód, a nie abstrakcyjne „w sprawie oferty”, (3) jak się wycofać, czyli jasna informacja o prawie do zakończenia i usunięcia z listy. Bez trzeciego elementu narażasz się na skargę nawet przy ważnej zgodzie.

Agent powinien reagować naturalnie na brak zgody: „Oczywiście, rozumiem. Usuwamy numer z listy. Do widzenia.” Bez „czy jest Pan lub Pani pewien?”, bez „może jednak jedno pytanie”, bez nacisku. Pierwsza prośba o zakończenie jest ostateczna.

Kilka sytuacji, w których stanowisko prawne nie jest jednoznaczne. Przedstawiamy naszą konserwatywną interpretację, nie poradę prawną.

Reaktywacja klienta, który nie dokonał zakupu pół roku temu. Stanowisko konserwatywne: jeśli przy pierwszym kontakcie zgodził się na kontakt marketingowy, dzwonimy. Jeśli nie, nie dzwonimy. Brak zakupu nie wycofuje zgody, ale też nie tworzy nowej podstawy.

„Mam jego numer, bo wysłał maila”, to nie. Email i telefon to dwa różne kanały. Zgoda na email nie jest zgodą na telefon. Wymagamy osobnej zgody lub osobnego potwierdzenia kontaktu telefonicznego.

B2B: czy wymagana zgoda? Tak. PKE w art. 398 jest faktycznie ostrzejszy niż wcześniejszy art. 172 Prawa telekomunikacyjnego, ustawodawca usunął spójnik „i”, który dawniej pozwalał na luźniejszą interpretację dla kanałów innych niż automatyczne systemy wywołujące. Po 10 listopada 2024 r. zarówno kontakt głosowy, jak i elektroniczny w celu marketingowym wymaga uprzedniej zgody, niezależnie od tego, czy do osoby fizycznej, czy prawnej. W praktyce UKE wciąż bardziej restrykcyjnie reaguje na skargi konsumentów niż firm, ale formalna podstawa odpowiedzialności jest taka sama.

Outbound do istniejącego klienta w innej sprawie niż ta, w której go zdobyliśmy. Przykład: klient kupił polisę komunikacyjną, dzwonimy w sprawie polisy mieszkaniowej. Stanowisko konserwatywne: to nowy cel marketingowy, więc wymaga nowej zgody. Pomocna jest zgoda „na kontakt w sprawie wszystkich polis w naszej ofercie” odebrana przy pierwszym zakupie, wtedy jedna zgoda obejmuje sprzedaż krzyżową.

W razie kontroli UKE lub UODO powinieneś dysponować następującą dokumentacją dla każdej kampanii outbound:

1. Podstawa prawna przetwarzania: dla każdego rekordu źródło zgody lub uzasadnionego interesu (data, forma, tekst zgody).

2. Zakres kampanii: cel, liczba kontaktów, typ podstawy prawnej, daty prowadzenia, operator (Ty jako administrator i my jako procesor).

3. Skrypt otwarcia rozmowy: wersja dokumentacyjna z klauzulami AI Act, RODO i informacją o wycofaniu zgody.

4. Raport wykonania: statystyki (wywołane, odebrane, prośby o DNC, wyniki), dokumentowane wraz z transkrypcjami udostępnianymi na żądanie.

5. Rejestr DNC: lista numerów, które wycofały zgodę, z datą i kanałem wycofania.

6. Umowa powierzenia przetwarzania (DPA): między Tobą a nami (procesorem), zgodna z art. 28 RODO.

7. Jeśli kampania dotyczy szczególnej kategorii danych (zdrowie, dane medyczne): DPIA (Data Protection Impact Assessment, art. 35 RODO).

Nie jest to dokumentacja teoretyczna. W praktyce UODO przy kontroli żąda jej w ciągu 7–14 dni. Braki dokumentacji są traktowane jak naruszenie, nawet jeśli same rozmowy były zgodne.