Prawo komunikacji elektronicznej – nowe zmiany w marketingu i e-commerce

Nowelizacja przepisów dotyczących komunikacji elektronicznej, wprowadzona przez Prawo komunikacji elektronicznej (PKE) weszła w życie 10 listopada 2024 r. Jest to odpowiedź na dynamicznie zmieniające się realia technologiczne i rosnącą skalę wykorzystania komunikacji elektronicznej w marketingu oraz obsłudze klienta. Prawo komunikacji elektronicznej zastępuje archaiczne przepisy Prawa telekomunikacyjnego, które nie uwzględniały nowoczesnych form kontaktu, takich jak komunikatory internetowe czy wideorozmowy. Ponadto, zmiany te mają na celu ujednolicenie polskiego prawa z regulacjami unijnymi, w szczególności z przepisami dotyczącymi ochrony danych osobowych i prywatności użytkowników. i niesie za sobą istotne zmiany dla branży marketingu, e-commerce oraz contact center. Nowe regulacje zastępują dotychczasowe Prawo telekomunikacyjne, wprowadzając nowe zasady dotyczące działań marketingowych, reklamy internetowej i procesów zdalnej obsługi klienta.

Nowe Prawo komunikacji elektronicznej (PKE), które weszło w życie 10 listopada 2024 r., to przełomowa regulacja dostosowująca polskie przepisy do rzeczywistości cyfrowej. Ustawa zastępuje Prawo telekomunikacyjne z 2004 r., które nie obejmowało nowoczesnych form komunikacji, takich jak komunikatory internetowe, wideorozmowy czy chatboty.

Dlaczego wprowadzono nowe regulacje?

Wraz z dynamicznym rozwojem technologii firmy zaczęły coraz szerzej wykorzystywać automatyzację marketingu, systemy CRM, personalizowane reklamy i zdalną obsługę klienta. Brak przejrzystych zasad prowadził do nadużyć, np. niechcianych telefonów marketingowych czy trudności w zarządzaniu zgodami użytkowników.

Statystyki pokazują, że:

• W 2023 r. 86% Polaków otrzymało niechcianą wiadomość reklamową.
• Ponad 70% konsumentów uważa, że firmy nie przechowują ich danych w sposób odpowiedzialny.
• W Europie ponad 75% transakcji w e-commerce jest poprzedzanych reklamą cyfrową.

Celem nowych regulacji jest zwiększenie przejrzystości, wzmocnienie ochrony konsumentów i dostosowanie prawa do współczesnych realiów cyfrowych. Co to oznacza dla firm? Wymóg uzyskania jednoznacznej zgody na komunikację marketingową, obowiązek zgłaszania działalności do rejestru UKE oraz dostosowanie polityk prywatności do nowych standardów.

Nowe wymogi dla działań marketingowych

Nowe Prawo komunikacji elektronicznej (PKE) zaostrza wymagania dotyczące marketingu bezpośredniego. Każda firma, która chce prowadzić działania promocyjne za pośrednictwem środków komunikacji elektronicznej, musi uzyskać jednoznaczną zgodę użytkownika (model opt-in).

Obowiązek uzyskania zgody dotyczy:

• wiadomości e-mail (newslettery, oferty, promocje),
• połączeń telefonicznych i SMS-ów,
• wiadomości wysyłanych w komunikatorach internetowych (np. WhatsApp, Messenger),
• wideorozmów wykorzystywanych w celach marketingowych (np. Zoom, Teams).

Prawo komunikacji elektronicznej definiuje kontakt marketingowy bardzo szeroko – jako każdy przekaz zawierający treści promocyjne, nawet jeśli nie są one bezpośrednio związane z ofertą, produktem czy ceną.

Co istotne, przepisy te nie ograniczają się wyłącznie do kontaktu z konsumentami – obowiązują również w marketingu B2B, co oznacza, że firmy nie mogą wysyłać niezamówionych ofert czy reklam do innych przedsiębiorstw bez wcześniejszej zgody.

Co jeszcze jest ważne?

• Zgoda musi być jednoznaczna, świadoma i udokumentowana. Nie można stosować domyślnie zaznaczonych checkboxów ani mechanizmów wymuszających akceptację.
• Odbiorcy muszą mieć możliwość łatwego wycofania zgody w dowolnym momencie – firmy powinny zapewnić prosty proces rezygnacji, np. poprzez link rezygnacyjny w e-mailach lub opcję zarządzania subskrypcjami w ustawieniach użytkownika.
• Nowe regulacje nie dotyczą komunikatów technicznych lub obsługowych (np. potwierdzeń transakcji, powiadomień o zmianach w regulaminie), które są wyłączone z zakresu PKE.

Aby spełnić wymagania PKE, przedsiębiorstwa mogą wdrożyć następujące rozwiązania:

• Platformy do zarządzania zgodami (CMP) – zapewniają użytkownikom przejrzysty proces akceptacji lub odrzucenia zgody na kontakt marketingowy.
• Transparentne mechanizmy informowania o zgodzie – np. pop-upy z jasnym wyjaśnieniem celu kontaktu i możliwości jego odrzucenia.
• Edukacja klientów – firmy mogą informować użytkowników o korzyściach wynikających z wyrażenia zgody, np. personalizacja treści marketingowych dostosowana do ich preferencji.
• Personalizowane opcje subskrypcji – umożliwienie odbiorcom wyboru preferowanej formy kontaktu, np.:
  • „Chcę otrzymywać spersonalizowane oferty e-mailowe.” (Tak/Nie)
  • „Zgadzam się na kontakt telefoniczny w sprawie ofert specjalnych.” (Tak/Nie)

Dostosowanie działań marketingowych do nowych przepisów nie tylko pozwoli uniknąć kar, ale także zwiększy skuteczność kampanii i poprawi relacje z odbiorcami poprzez budowanie ich zaufania.

Zgoda na cookies i podobne narzędzia

Nowe przepisy Prawa komunikacji elektronicznej (PKE) zaostrzają zasady dotyczące stosowania plików cookies oraz innych narzędzi śledzących, takich jak piksele, tagi czy dane przechowywane w local storage.

Zmiany obejmują:

• Obowiązek uzyskania wyraźnej zgody użytkownika na używanie plików cookies związanych z reklamami, analityką i retargetingiem.
• Możliwość łatwego wycofania zgody – użytkownicy muszą mieć opcję zmiany preferencji w dowolnym momencie, np. poprzez ustawienia na stronie.
• Banery informujące o cookies muszą być bardziej przejrzyste – użytkownicy powinni mieć czytelny wybór, np. „Zaakceptuj wszystkie” oraz „Odrzuć nieistotne pliki”.

Firmy muszą dostosować swoje strony internetowe i systemy analityczne do nowych wymogów. Może to wiązać się z dodatkowymi kosztami wdrożenia technologii oraz koniecznością przeszkolenia personelu. Dotyczy to także dostawców technologii analitycznych i reklamowych, takich jak platformy DSP (Demand-Side Platforms) i SSP (Supply-Side Platforms), które muszą upewnić się, że ich narzędzia spełniają nowe standardy.

Prawo komunikacji elektronicznej przewiduje wyjątki dla technicznie niezbędnych plików cookies, które umożliwiają podstawowe funkcje strony, takie jak:

• utrzymanie sesji logowania,
• obsługa koszyka zakupowego,
• dostosowanie interfejsu użytkownika do jego preferencji.

Warto jednak pamiętać, że ustawienia przeglądarki mogą służyć jako źródło zgody na cookies, ale mogą nie spełniać wymagań RODO ani oczekiwań dostawców narzędzi analitycznych i reklamowych.

Oto kilka wskazówek, jak dostosować stronę do nowych wymogów:

• Wdrożyć nowoczesne systemy zarządzania zgodami (Consent Management Platform – CMP), które umożliwią użytkownikom łatwą akceptację lub odrzucenie poszczególnych kategorii cookies.
• Zapewnić selektywne opcje wyboru cookies, umożliwiając użytkownikom włączanie lub wyłączanie określonych kategorii plików (np. marketingowe, analityczne, funkcjonalne).
• Transparentnie informować o celu stosowania cookies i zapewnić łatwy dostęp do polityki prywatności oraz możliwości zarządzania zgodami.

Dostosowanie strony do nowych wymagań pozwoli uniknąć kar oraz zwiększy zaufanie użytkowników do działań firmy.

Dotychczasowe zgody marketingowe

Zgody zebrane przed wejściem w życie nowych przepisów będą ważne, o ile spełniają wymogi PKE. Oznacza to, że zgody muszą być udzielone w sposób świadomy, dobrowolny i jednoznaczny. Muszą również zawierać dokładne informacje o celu przetwarzania danych oraz tożsamości podmiotu zbierającego zgodę.

Przykładowo, zgody uzyskane w sposób domyślny, takie jak zaznaczone z góry okienka wyboru (tzw. opt-out), nie spełniają nowych wymogów. Ważne jest również, aby firmy miały udokumentowaną zgodę, którą mogą przedstawić w przypadku kontroli, co wymaga odpowiednich systemów zarządzania zgodami.

Firmy powinny dokonać audytu treści zgód, sposobu ich zbierania oraz procedur wycofywania zgody, by dostosować je do nowych regulacji.

Nowe kategorie przedsiębiorców zobowiązanych

Prawo komunikacji elektronicznej (PKE) rozszerza zakres regulacji na nowe grupy podmiotów, które dotychczas nie były objęte obowiązkami wynikającymi z przepisów telekomunikacyjnych. Nowe przepisy dostosowują regulacje do współczesnych form komunikacji cyfrowej i obejmują podmioty świadczące usługi komunikacji elektronicznej, nawet jeśli nie są to tradycyjni operatorzy telekomunikacyjni.

Nowe przepisy obejmują nie tylko operatorów sieci telekomunikacyjnych, ale także dostawców nowoczesnych usług cyfrowych, w tym:

• Tradycyjne firmy telekomunikacyjne – operatorzy telefonii komórkowej, dostawcy internetu i usług transmisji danych.
• Dostawcy usług komunikacyjnych online – platformy umożliwiające przesyłanie wiadomości i prowadzenie wideorozmów, takie jak WhatsApp, Skype, Zoom, Microsoft Teams.
• Firmy obsługujące czaty na stronach internetowych – dostawcy narzędzi do komunikacji w czasie rzeczywistym między klientami a przedsiębiorstwami.
• Dostawcy e-mail marketingu – platformy oferujące usługi masowej wysyłki wiadomości, takie jak MailChimp, GetResponse czy FreshMail.
• Platformy SaaS oferujące komunikację elektroniczną – wszelkie systemy umożliwiające komunikację w ramach aplikacji, np. wewnętrzne systemy wiadomości w e-commerce, CRM czy ERP.

Jakie obowiązki mają firmy objęte nowymi regulacjami?

Podmioty objęte nowymi regulacjami muszą dostosować swoje działania do wymogów PKE, w tym:

• Rejestracja w UKE jako dostawca usług komunikacji elektronicznej
  • Każda firma, której usługi obejmują transmisję danych w ramach komunikacji elektronicznej, musi zgłosić działalność do Urzędu Komunikacji Elektronicznej (UKE). Podmioty zobowiązane nowymi przepisami mają na to 6 miesięcy od wejścia w życie PKE
  • Brak rejestracji może skutkować wykreśleniem z rejestru i nałożeniem kar administracyjnych.
• Wdrożenie mechanizmów ochrony prywatności użytkowników
  • Firmy muszą zapewnić odpowiednie zabezpieczenia danych użytkowników, zgodnie z wymogami RODO i PKE.
  • Obejmuje to m.in. szyfrowanie transmisji danych oraz przejrzyste informowanie użytkowników o zakresie przetwarzania ich informacji.
• Dostosowanie polityk zgód na marketing i pliki cookies
  • Wszelkie działania marketingowe muszą być prowadzone zgodnie z nowymi przepisami dotyczącymi zgód opt-in.
  • Stosowanie plików cookies oraz narzędzi analitycznych wymaga wyraźnej zgody użytkownika, z możliwością jej łatwego cofnięcia.
• Spełnienie obowiązków informacyjnych
  • Przedsiębiorcy muszą dostarczyć użytkownikom czytelne informacje o świadczonych usługach, warunkach umowy oraz sposobach rozpatrywania reklamacji.
  • Powinni także zapewnić dostęp do danych kontaktowych i polityki prywatności w sposób zgodny z nowymi regulacjami.
• Zapewnienie dostępności usług dla osób z niepełnosprawnościami
  • Strony internetowe oraz narzędzia komunikacyjne muszą być dostosowane do potrzeb użytkowników z różnymi rodzajami niepełnosprawności.
  • Wymagania obejmują m.in. zgodność z międzynarodowymi standardami dostępności WCAG 2.1.

Nowe przepisy wprowadzają istotne zmiany w zakresie działalności firm świadczących usługi komunikacyjne i marketingowe. Przedsiębiorstwa powinny przeprowadzić szczegółowy audyt swojej działalności, aby upewnić się, że ich praktyki są zgodne z nowymi regulacjami i uniknąć potencjalnych sankcji.

Zmiany w umowach i obowiązki informacyjne

Nowe przepisy Prawa komunikacji elektronicznej wprowadzają istotne zmiany w zakresie zawierania umów na usługi telekomunikacyjne i komunikacyjne. Nowe regulacje mają na celu zwiększenie przejrzystości ofert oraz ochronę praw konsumentów, mikro- i małych przedsiębiorców oraz organizacji pozarządowych.

Kluczowe zmiany w umowach obejmują:

• Ograniczenie czasu trwania umów
  • Nowe przepisy ograniczają maksymalny czas trwania umowy do 24 miesięcy.
  • Eliminuje to długoterminowe zobowiązania, które mogły wiązać klientów z dostawcami usług na niekorzystnych warunkach.
• Prawo do zwrotu niewykorzystanych środków
  • Konsumenci zyskali prawo do odzyskania środków w przypadku niewykorzystania usług przedpłaconych (np. środków na koncie prepaid).
  • W przypadku rozwiązania umowy dostawca usług ma obowiązek dokonać zwrotu niewykorzystanej kwoty, co zwiększa ochronę klientów przed utratą środków.
• Obowiązek informowania o automatycznym przedłużeniu umowy
  • Firmy muszą jasno określić warunki automatycznego przedłużania umów i przekazywać klientom informacje na ten temat w sposób czytelny i zrozumiały.
  • Konsumenci powinni być informowani z odpowiednim wyprzedzeniem o możliwości rezygnacji przed automatycznym odnowieniem umowy.
• Wymóg przedstawienia “one-pagera” przed podpisaniem umowy
  • Przed zawarciem umowy dostawcy muszą dostarczyć klientowi tzw. “one-pager” – dokument zawierający najważniejsze informacje o usłudze w przystępnej i skondensowanej formie.
  • Dokument powinien jasno określać:
    • cenę i warunki usługi,
    • okres trwania umowy,
    • warunki rozwiązania umowy,
    • ewentualne opłaty dodatkowe.
  • Celem tego wymogu jest zapewnienie większej przejrzystości ofert i ułatwienie konsumentom podejmowania świadomych decyzji.

Dostawcy usług komunikacji elektronicznej muszą także spełnić nowe obowiązki informacyjne, aby zwiększyć transparentność umów i zagwarantować ochronę użytkowników. Wymagania te obejmują:

• Przekazywanie jasnych informacji o warunkach umowy przed jej zawarciem.
• Publikację szczegółowych regulaminów na stronach internetowych, zawierających m.in. cenniki, warunki korzystania z usług oraz dane kontaktowe dostawcy.
• Zapewnienie dostępu do informacji w formie dostosowanej do osób z niepełnosprawnościami.
• Przejrzystość opłat i warunków korzystania z usług – wszelkie dodatkowe koszty muszą być jasno określone i nie mogą być ukryte w regulaminach.

Wprowadzenie tych zmian ma na celu zapewnienie większej ochrony konsumentom oraz eliminację niejasnych i niekorzystnych praktyk stosowanych przez niektórych dostawców usług telekomunikacyjnych i komunikacyjnych. Firmy powinny niezwłocznie dostosować swoje procedury i dokumentację, aby uniknąć sankcji i spełnić nowe wymagania regulacyjne.

Wzmocnienie cyberbezpieczeństwa

Nowe przepisy Prawa komunikacji elektronicznej (PKE) nakładają na firmy bardziej rygorystyczne wymagania w zakresie cyberbezpieczeństwa i ochrony danych osobowych. Wdrażane regulacje mają na celu minimalizowanie ryzyka naruszeń oraz zapewnienie użytkownikom większej kontroli nad ich danymi.

Nowe obowiązki dla firm obejmują:

• Wdrożenie polityk bezpieczeństwa dotyczących przetwarzania danych
  • Każda firma przetwarzająca dane osobowe w ramach komunikacji elektronicznej musi posiadać udokumentowaną politykę bezpieczeństwa, dostosowaną do aktualnych zagrożeń.
  • Wymagane są procedury szybkiego reagowania na incydenty oraz regularne przeglądy polityk bezpieczeństwa.
• Obowiązek raportowania naruszeń danych osobowych
  • Naruszenia danych osobowych muszą być zgłaszane do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w terminie krótszym niż wymagany przez RODO.
  • Firmy powinny wdrożyć wewnętrzne procedury wykrywania i rejestrowania naruszeń, a także sposoby ich minimalizacji.
• Obowiązek stosowania zaawansowanych metod ochrony danych
  • Firmy muszą zapewnić odpowiednie środki techniczne i organizacyjne, które minimalizują ryzyko nieautoryzowanego dostępu do danych użytkowników.
  • Zalecane jest stosowanie szyfrowania danych zarówno w trakcie przesyłania informacji, jak i ich przechowywania.
• Wymóg stosowania wielopoziomowej autoryzacji (MFA)
  • W systemach przetwarzających dane użytkowników wrażliwych, w tym w portalach e-commerce, platformach usługowych i systemach obsługi klienta, wielopoziomowa autoryzacja (MFA) powinna stać się standardem.
  • Autoryzacja dwuskładnikowa (2FA) i inne formy dodatkowego uwierzytelniania mają na celu ograniczenie ryzyka przejęcia dostępu do kont użytkowników.
• Obowiązkowe audyty i testy penetracyjne
  • Firmy świadczące usługi komunikacji elektronicznej powinny przeprowadzać regularne audyty bezpieczeństwa oraz testy penetracyjne w celu wykrywania potencjalnych luk w zabezpieczeniach.
  • Wymagana jest również aktualizacja polityk zgodności z nowymi regulacjami i przechowywanie dokumentacji audytowej na potrzeby ewentualnych kontroli.
• Ochrona przed atakami DDoS i nieautoryzowanym dostępem
  • Przedsiębiorstwa zajmujące się przetwarzaniem danych użytkowników muszą wdrożyć mechanizmy ochrony przed cyberatakami, takimi jak rozproszone ataki typu DDoS.
  • Istotne jest również stosowanie systemów monitorowania zagrożeń w czasie rzeczywistym.

Co grozi za naruszenie nowych regulacji?

Nieprzestrzeganie nowych zasad dotyczących cyberbezpieczeństwa może skutkować poważnymi konsekwencjami finansowymi i prawnymi. Naruszenia przepisów PKE w tym zakresie mogą prowadzić do nałożenia kar administracyjnych przez Prezesa UODO lub Urząd Komunikacji Elektronicznej (UKE).

Firmy, które nie spełnią nowych obowiązków wynikających z PKE, mogą zostać ukarane przez Prezesa Urzędu Komunikacji Elektronicznej (UKE) karą finansową w wysokości do 3% ich rocznego przychodu uzyskanego w poprzednim roku kalendarzowym.

Szczególnie surowe konsekwencje przewidziano dla naruszeń związanych z kontaktami marketingowymi bez wymaganej zgody odbiorców. W takich przypadkach Prezes UKE przy nakładaniu kar uwzględnia jedynie okoliczności samego naruszenia, pomijając wcześniejsze działania firmy czy jej kondycję finansową.

Podsumowanie

Nowe Prawo komunikacji elektronicznej (PKE) wprowadza istotne zmiany, które wymagają od przedsiębiorców natychmiastowego dostosowania procedur. Obejmują one obszary związane z marketingiem, polityką zgód użytkowników, ochroną danych, zawieraniem umów oraz cyberbezpieczeństwem.

Zaniedbanie obowiązków wynikających z PKE może prowadzić do poważnych konsekwencji, w tym kar finansowych nakładanych przez Prezesa Urzędu Komunikacji Elektronicznej (UKE) lub Prezesa Urzędu Ochrony Danych Osobowych (UODO). Właśnie dlatego firmy powinny przeprowadzić audyt zgodności i wdrożyć wymagane zmiany jak najszybciej.

Checklista dla przedsiębiorców – kluczowe kroki

☑ Sprawdź, czy Twoja firma podlega nowym regulacjom

• Jeśli zajmujesz się komunikacją elektroniczną, e-commerce, marketingiem, telekomunikacją lub dostarczasz usługi cyfrowe – PKE może Cię dotyczyć.
• Przeanalizuj definicję przedsiębiorcy komunikacji elektronicznej, która obejmuje nie tylko operatorów telekomunikacyjnych, ale również firmy oferujące usługi e-mail marketingu, komunikatory online czy systemy wideokonferencyjne.

☑ Zaktualizuj zgody marketingowe

• Dokonaj audytu zgód na kontakt marketingowy – sprawdź, czy są jednoznaczne, świadome i dobrowolne.
• Usuń domyślnie zaznaczone checkboxy – zgody muszą być udzielone aktywnie przez użytkownika.
• Zapewnij możliwość łatwego wycofania zgody w dowolnym momencie.
• Dostosuj swoje systemy CRM do nowego modelu opt-in – każda zgoda powinna być archiwizowana i możliwa do udokumentowania w przypadku kontroli.

☑ Dostosuj politykę cookies i wdroż nowoczesne narzędzia zarządzania zgodami (CMP)

• Upewnij się, że banery cookies są zgodne z PKE – użytkownicy muszą mieć jasny wybór: „Akceptuję” / „Odrzucam” / „Dostosuj ustawienia”.
• Wyraźna zgoda na cookies jest obowiązkowa dla celów analitycznych, reklamowych i personalizacyjnych.
• Stosowanie plików cookies technicznych (np. do logowania, obsługi koszyka w e-commerce) nie wymaga zgody.
• Rozważ wdrożenie Consent Management Platform (CMP), aby zarządzać zgodami użytkowników w sposób przejrzysty i zgodny z przepisami.

☑ Przeanalizuj umowy – czy spełniają nowe wymogi?

• Umowy z konsumentami, mikro- i małymi przedsiębiorcami oraz NGO nie mogą trwać dłużej niż 24 miesiące.
• Jeśli oferujesz automatyczne przedłużenie umowy, musisz o tym jasno poinformować użytkownika.
• Klienci mają prawo do zwrotu niewykorzystanych środków (dotyczy usług przedpłaconych).
• Przed podpisaniem umowy należy dostarczyć tzw. one-pager – uproszczone podsumowanie kluczowych warunków współpracy.

☑ Zarejestruj działalność w UKE, jeśli świadczysz usługi komunikacji elektronicznej

• Firmy oferujące usługi komunikacyjne (np. telekomunikacja, e-mail marketing, komunikatory) muszą złożyć wniosek o wpis do Rejestru Przedsiębiorców Komunikacji Elektronicznej lub zaktualizować dotychczasowy wpis w Rejestrze Przedsiębiorców Telekomunikacyjnych.
• Brak rejestracji w ciągu 6 miesięcy od wejścia w życie PKE może skutkować wykreśleniem z rejestru i konsekwencjami prawnymi.

☑ Wzmocnij cyberbezpieczeństwo

• Wdrożenie polityk bezpieczeństwa danych to obowiązek każdej firmy przetwarzającej dane osobowe w ramach komunikacji elektronicznej.
• Incydenty naruszenia danych muszą być zgłaszane do UODO w terminie krótszym niż wymagany przez RODO.
• Konieczne jest stosowanie szyfrowania danych oraz zaawansowanych metod uwierzytelniania, takich jak dwuskładnikowa autoryzacja (2FA) lub wielopoziomowa autoryzacja (MFA).
• Firmy powinny regularnie przeprowadzać audyty bezpieczeństwa i testy penetracyjne, aby wykrywać potencjalne zagrożenia.

Dostosowanie się do zmian nie jest opcją – to konieczność, która zapewni firmom bezpieczeństwo prawne i konkurencyjność na rynku cyfrowym.

Skorzystaj z naszej pomocy już dziś i uzyskaj wsparcie.

Masz więcej pytań? Zapraszamy do kontaktu